Firesheep: ecco quanto è facile spiare i dati di qualcuno su una rete Wi-Fi

Firesheep: ecco quanto è facile spiare i dati di qualcuno su una rete Wi-Fi

Lo sviluppatore Eric Butler ha realizzato un estensione per Firefox per dimostrare quanto sia facile spiare le credenziali di accesso di un utente su una rete Wi-Fi pubblica

di Fabio Gozzo pubblicata il , alle 15:36 nel canale Sicurezza
FirefoxMozilla
 

Autenticarsi con le proprie credenziali su un determinato sito attraverso una rete pubblica è un'operazione potenzialmente pericolosa in quanto chiunque può accedere alla stessa rete potrebbe essere in grado spiare i dati in transito. Sebbene siano ormai numerosissimi i siti web che permettono di utilizzare connessioni HTTPS/SSL per proteggere le credenziali di accesso degli utenti durante la procedura di login, spesso il resto dei dati, cookies inclusi, vengono trasmessi invece in chiaro.

A riprova di quanto appena detto, Eric Butler, uno sviluppatore freelance di applicazioni web, ha realizzato Firesheep, un'estensione per Firefox che mostra proprio quanto sia semplice appropriarsi delle credenziali di accesso di altri utenti collegati ad una rete Wireless con accesso pubblico, dove i dati viaggiano in chiaro attraverso le onde elettromagnetiche e, pertanto, possono essere intercettati facilmente.

Secondo quanto riportato sul blog di Butler, l'estensione non fa altro che andare a spiare il traffico in transito sulla rete alla ricerca di cookies contenenti i dati di accesso di diversi siti, come ad esempio Google, Facebook, Flickr, Twitter e tanti altri, visualizzandoli poi comodamente in una sidebar all'interno del browser; una volta entrati in possesso dei cookies, i cyber criminali possono accedere al sito con le credenziali della vittima cliccando semplicemente su una delle voci che compariranno nell'elenco.

Per spiare il traffico di rete, sotto Windows Firesheep si appoggia all'applicazione Winpcap, mentre per consentire l'accesso ai siti web utilizzando i cookies rubati sfrutta una tecnica nota con il nome di HTTP session hijacking.

Dopo la presentazione di Firesheep al ToorCon, una conferenza sulla sicurezza informatica tenutasi alcuni giorni fa a San Diego, USA, non sono ovviamente mancate le polemiche: sebbene il plug-in sia stato realizzato semplicemente allo scopo porre maggior enfasi sul problema, viene quasi scontato chiedersi se l'estensione non rischi seriamente di causare più danni di quanti ne voglia risolvere. Tale estensione permette infatti a chiunque di poter accedere con credenziali altrui a svariati siti senza avere alcuna conoscenza tecnica e nelle mani sbagliate rischia di trasformarsi in uno strumento decisamente pericoloso.

Resta aggiornato sulle ultime offerte

Ricevi comodamente via email le segnalazioni della redazione di Hardware Upgrade sui prodotti tecnologici in offerta più interessanti per te

Quando invii il modulo, controlla la tua inbox per confermare l'iscrizione

45 Commenti
Gli autori dei commenti, e non la redazione, sono responsabili dei contenuti da loro inseriti - info
supermario27 Ottobre 2010, 15:40 #1
non ci provate sulle reti delle università(notoriamente aperte ma con auth radius) perchè oltre a non funzionare che vi sgamano in 20 secondi
Aeon1927 Ottobre 2010, 16:03 #2
non ci provate sulle reti delle università(notoriamente aperte ma con auth radius) perchè oltre a non funzionare che vi sgamano in 20 secondi


sesese
9joker627 Ottobre 2010, 16:46 #3
Ci ho giusto provato oggi all'univ! Non ha funzionato perchè bisogna installare anche un altro programmino...
+Benito+27 Ottobre 2010, 16:58 #4
niente galera per questi che diffondono questi programmi senza battere ciglio?
chiaro_scuro27 Ottobre 2010, 17:30 #5
La galera ci dovrebbe essere per i siti HTTPS che trasmettono i dati in chiaro.

Ciao.
albythebest27 Ottobre 2010, 17:44 #6
<quote>niente galera per questi che diffondono questi programmi senza battere ciglio?</quote>

Perché i produttori di armamenti vanno in galera?
MARROELLO27 Ottobre 2010, 18:02 #7
Originariamente inviato da: albythebest

Perché i produttori di armamenti vanno in galera?


Quoto, praticamente lo stesso principio.
benderchetioffender27 Ottobre 2010, 19:14 #8
Originariamente inviato da: +Benito+
niente galera per questi che diffondono questi programmi senza battere ciglio?


uuuhh ci sarebbe una luuuunghissima coda all'ingresso se questi devono andare in galera: sai quanti altri dovrebbero andarci per cose ben peggiori?

ma quindi non ho capito: come è possibile che girino in chiaro le credenziali di accesso? cioè, è un problema di progettazione su https o del wireless?
+Benito+27 Ottobre 2010, 19:25 #9
Originariamente inviato da: MARROELLO
Quoto, praticamente lo stesso principio.


Sì buonanotte.
Questo diffonde un programma che non ha nessun tipo di utilità che non sia il FURTO di dati altrui.
Non dovrebbe essere possibile farlo, ci sono milioni di idioti al mondo che appena scoprono queste cose si divertono a fare danni.
Hal200127 Ottobre 2010, 19:32 #10
Originariamente inviato da: +Benito+
Questo diffonde un programma che non ha nessun tipo di utilità


Un programma che non occorre, visto che si può fare da sempre anche senza.
L'utilità invece ce l'ha, far fare un po' di clamore in modo tale che qualche amministratori cominci a fare le cose per bene, piuttosto che mandare dati critici in chiaro.

che non sia il FURTO di dati altrui.


Nessuno ruba nulla, i dati sono in chiaro, chiunque li può leggere.
Non occorre forzare nulla, ne sistemi ne comunicazioni.

Non dovrebbe essere possibile farlo, ci sono milioni di idioti al mondo che appena scoprono queste cose si divertono a fare danni.


Quindi si potrebbe anche vietare di guardare la tv, l'altra sera raccontavano di uno squilibrato che ha ucciso una signora con un bastone. Magari quei milioni di idioti scoprono che si può fare.

Devi effettuare il login per poter commentare
Se non sei ancora registrato, puoi farlo attraverso questo form.
Se sei già registrato e loggato nel sito, puoi inserire il tuo commento.
Si tenga presente quanto letto nel regolamento, nel rispetto del "quieto vivere".

La discussione è consultabile anche qui, sul forum.
 
^