Често Задавани Въпроси

Преди два месеца споменах за Firesheep – добавката за Firefox, кoято позволява “отвличането” на чужди HTTP сесии, особено такива, минаващи през некриптирана Wireless точка. Новината породи доста интерес ( особено когато се оказа, че може да се крадат Facebook сесии ) и предполагам доста хора са се заиграли. Разбира се, подобна атака не представлява особена новост, но за първи път HTTP session hijack-а е облечен в толкова лесен за ползване пакет.

И така – да видим как може да се защитим от script kiddies, които ползват подобни играчки:

• на първо място – ползвайте криптирана връзка, включително криптирайте и Wireless-а си. Ако държите да го раздавате на познати и приятели – сложете някаква смешна парола и им я дайте, или я напишете на видно място ( този метод се ползва от няколко кафета в София ). Ако ползвате и VPN до някакъв ваш/фирмен сървър и този VPN е настроен така, че целият трафик се рутира през него – още по-добре.
• ползвайте добавката за Firefox HTTPS Anywhere, дело на Electronic Frontier Foundation. Тази добавка превключва към изцяло SSL криптиран трафик към сайтовете, които го поддържат ( Google Search, Wikipedia, Twitter, Facebook, bit.ly, GMX, WordPress.com, The New York Times, The Washington Post, Paypal, EFF, Tor и др.)
• Използвайте добавката за Firefox Blacksheep, която е разработена от Zscaler и е предназначена да ви предупреди, ако някой в мрежата използва Firesheep. Също така тази добавка генерира фалшиви HTTP сесии, които подава на Firesheep, като по този начин засипва атакуващият с грешни данни ( също известно като snowblind атака ). За отбелязване е, че не можете да инсталирате в един и същ профил Firesheep и Blacksheep – използват обща кодова база. Ето как изглежда предупреждението:

А все пак, ако сте пропуснали да си инсталирате Firesheep, можете да го намерите тук.

Вчера на Toorcon12 в Сан Диего Eric Butler обяви своя плъгин за Firefox на име Firesheep. Плъгина е разработен с цел демонстрация на множеството несигурни практики на сайтовете. Работи като прехваща бисквитката ( cookie ) от http сесия на друг потребител на същият wireless.

Кратко лирично отклонение: как работи аутентификацията при повечето сайтове – дори и формата с потребителското име и парола да е криптирана или хеширана, то след аутентификация сайта записва бисквитка в браузъра и след това я чете, за да аутентификира потребителя. Това означава, че всеки потребител, който притежава тази бисквитка, ще бъде присъединен към аутентифицираната сесия ( понякога се проверява и за същият IP адрес, но не винаги ). Ако се използва публична wifi мрежа, то на практика бисквитките се предават в некриптиран вид и всеки може да ги копира.

Тази атака не е нова, но за първи път се появява в толкова удобен за ползване пакет – просто инсталирате плъгина, пускате да сканира и после щракате на снимката… Направо мокрият сън на тинейджърите и script kiddie-тата.

Ето и всички слайдове от презентацията.

Видео-демонстрация на възможностите на FireMaster за хакване ( хибридно и брут-форс _

Ако пазите всичките ( или поне повечето ) си пароли в Password manager-а на Firefox, е силно препоръчително да ги защитите с т.нар. Master парола. Всеки път, преди да можете да използвате запаметените пароли, FF ще ви попита за вашата мастър парола и с нейна помощ ще разкриптира съдържанието на профила. Теоретично това означава, че ако не знаете/забравите паролата си, то играта свършва.

Lifehacker от друга страна са намерили инструмент, с чиято помощ може да се счупи паролата. Разбира се това става по най-хамалския начин – с брутфорс¹.FireMaster работи само в команден ред ( което е някаква защита от използването му от ревниви гаджета ) и можете да му зададете всякакви ограничения, от рода на използвани символи, дължина на паролата ( може да е интервал от стойности ). Всяко подобно ограничение може да ускори процеса на разбиване на паролата. Разбира се, яко използваната парола е 14 символа с препинателни знаци, то намалението ще е от няколко десетки години на няколко години…

Powered by Zoundry Raven

Technorati : bruteforce, firefox, password

1. bruteforce – буквално като се изпробва всяка възможна парола. Няма крипто-алгоритъм, който да не е податлив на тази атака, единствената защита е използването на дълга и сложна парола [обратно ↩]

Firefox браузърът в новият релийз на Ubunty – Karmic Koala по подразбиране включва плъгин с името multisearch, който според намека на един от разработчиците събира информация за направените търсения. Въпросният плъгин може лесно да се деинсталира и всъщност отваря във всеки нов отворен таб Ubuntu Start Page – част от Custom Search Page на Google, който ( както всички CSE-та ) събира данни за направените търсения. Все още тази версия на Firefox, както и Karmic Koala се намират в бета и не е съвсем ясно дали това е просто експеримент или разработчиците на Ubuntu се опитват леко да увеличат приходите си, но темата във форумите е пълна с недоволни потребители. Плъгина се деинсталира лесно, без проблемите, през които се преминаваше за да се махне прословутия .NET плъгин на M$. Въпреки това, основният повод за недоволство е начина, по който се инсталира допълнителен софтуер, нарушаващ личното пространство на потребителите, без това да е изрично обявено – повечето от потребителите на Linux считат такова поведение за крайно неподходящо, особено за разработчиците на една от най-популярните Линукс дистрибуции напоследък.

Powered by Zoundry Raven

Ако вече си играете с Firefox 3.5, то трябва да сте наясно, че едната от новостите в браузъра е Location awareness browsing/Geolocation. Накратко – браузъра определя къде се намира ( чрез ip адрес, гадаене на черва и вудумагия ) и след това изпраща тази информация на сайта, който отваряте. Някои го наричат Web 3.0, но ако не ви кефи – ето как се изключва.