Twitter & Facebook und unverschlüsselte Seiten: Accounts übernehmen für Doofe mit Firesheep
von caschy | 37 Kommentare
Wer in offenen WLANs unterwegs ist, der weiss sicherlich, worauf er sich einlässt. Ist die Verbindung zu verschiedenen Seiten nicht verschlüsselt, so kann ein Lauscher mit geringem Wissen unter Umständen so einiges an Traffic mitschneiden und diesen auswerten. Twitter und Facebook arbeiten zum Beispiel momentan unverschlüsselt. Jetzt wird es neugierigen Personen ganz einfach gemacht, eure Accounts zu kapern. Dabei wird das offene WLAN gescannt und eure Cookies übernommen.
Damit auch der letzte Klappspaten das hinbekommt, gibt es eine Firefox-Erweiterung namens Firesheep. Starten, Cookies suchen und abgreifen. Funktioniert scheinbar wirklich so einfach wie erklärt. Unglaublich, oder?
Hier noch einmal mein Screenshot der Einstellungen:
Die Wirkweise ist schnell erklärt: bei unverschlüsselten Verbindungen übertragt ihr die Kombination Benutzername / Passwort im Klartext. Der Server überprüft dieses und sendet euch ein Cookie. Lest euch bei technischen Interesse ruhig einmal die Infos auf der Firesheep-Seite durch. Bin mal gespannt wir lange es dauert, bis die Erweiterung verschwindet – oder bis Seitenbetreiber die Verschlüsselung aktivieren. Also: aufgepasst in offenen Drahtlosnetzwerken!
Nachtrag: SO schützt ihr euch davor!
(via techcrunch)
Wird geladen ...
Mir egal, da ich sowieso kein Facebook und anderen Kackkram wie diese verdammten Social Network NICHT benutze. Facebook und Co. gehört VERBOTEN!
Man kann sich verschlüsselt einloggen, wenn man das „s“ in der URL ergänzt oder das von dir schon mal erwähnte Add-on, das bei vielen Seiten die verschlüsselte URL aufruft, nutzt, aber das ist auch nicht ganz optimal, da nach dem Einloggen eh alle weiteren Seiten unverschlüsselt übertragen werden. Das ist echt ein wunder, dass da anscheinend keiner was dagegen hat.
Mich wundert eh nichts mehr, wenn Unternehmen behaupten, dass die dich anschreiben dürfen, obwohl du weder deine Adresse angabst noch Werbung zugestimmt hast. Das soll angeblich nicht gegen unser Datenschutzgesetz verstoßen. Und die denken noch ernsthaft, dass man dann noch was kauft. Die brute force method funktioniert bei Menschen leider kaum. 😉
Ggf. das AddOn ForceTLS installieren: https://addons.mozilla.org/en-US/firefox/addon/12714/
Wow. Das so was von FIREFOX „angeboten“ wird . Ehrlich gesagt,hab ich das Prinzip jetzt nicht ganz verstanden…aber andere tun das wohl ;D Man,nirgends is mant sicher.
Danke!
@alle die mich berichtigt haben: Ja, ihr hattet recht und ich war dumm. Lag vielleicht auch an zu wenig Kaffee so früh Morgens, jedenfalls sehe ich eure Argumente ein und frage mich, was mich heute Morgen geritten hat, nicht soweit zu denken.
@caschy trotzdem nochmal Danke zum Nachtrag 🙂
Mach dir keinen Kopf – du hast wenigstens Eier und stehst zu seinen Aussagen. Andere trauen sich das nicht, eigene Fehler einzugestehen. Daumen hoch.
Ich gestatte es mir hier einfach mal auf das Video von SemperVideo zu verweisen, für jeden der es in Aktion sehen möchte ohne es selbst im LAN zu testen:
http://www.youtube.com/watch?v=7s9gmyjaRio
Falls Caschy das für zu viel der Eigenwerbung hält, einfach löschen. Grüße.
Andreas
Habe es mal zum Selbsttest installiert, aber krieg es trotz neuester WinCap version nicht zum laufen.
Naja, ist ja eh nicht so wichtig >_>
Ach du grüne neue. So was nennt sich dann wieder Prohacker, aber muss auf die billigsten Kindertools zurückgreifen und kann selbst diese nicht bedienen.
„Der neue Firefox 4, dessen Release Mozilla erst in dieser Woche verschoben hatte, soll das HSTS-Protokoll übrigens standardmäßig verlangen.“
Quelle: http://www.dnews.de/nachrichten/netzwelt/352775/firesheep-mozilla-plant-keinen-kill-switch.html
womit ein weiterer Schritt zu mehr sicherheit gegeben wird.