04192024Headline:

VOICI COMMENT LE WIFI nous expose au piratage

Posted about 9 ans ago | 0 comment

Méfiez-vous des points d’accès Wifi non sécurisés à cause de FireSheep

FireSheep l’ extension pour le navigateur Firefox est un vrai danger pour tous les internautes qui se connectent via un réseau Wifi sans fil non sécurisé à un certain nombres de sites comme Twitter, WordPress, Yahoo, Facebook. La liste complète des sites qui permettent à cette extension de montrer sa dangerosité est longue (Amazon, Basecamp, bit.ly, Cisco, CNet, Dropbox, Enom, Evernote, FaceBook, Flickr, FourSquare, Github, Google, Gowalla, Hacker News, Harvest, Windows Live, New York Times, Pivotal Tracker, ToorCon: San Diego, Slicehost, Tumblr, Twitter, WordPress, Yahoo, Yelp).

Le danger est omniprésent: Lorsque vous vous connectez à un de ses sites à partir d’ un réseau sans fil non sécurisé alors une personne extérieure qui a installé cette extension voit exactement tout ce que vous y faîtes et peut aussi hacker, voler votre compte.

Le principe est simple: Lorsque vous ouvrez une session sur un site tel que Facebook, celui-ci émet un cookie d’autorisation. En gros, ce cookie vous permet de naviguer d’une page à l’autre sur le site sans devoir constamment réinscrire votre mot de passe. Une personne qui utilise FireSheep récupérera votre cookie Facebook et ouvrira une session active sur votre réseau social favori. Les cookies de session pour maintenir la connexion de l’utilisateur sont évidemment utiles, mais il expose les utilisateurs à des problèmes de sécurité importants pour ceux qui accèdent le Web depuis un point d’accès Wifi non sécurisé.

Le résultat est impressionnant: J’avoue avoir été un peu sceptique lors de la sortie de ce plugin FireSheep. Cette méthode de « Session hijacking« , en interceptant les cookies de connexion émis sur des réseaux wifi non protégés, existe depuis longtemps et était réservée à des patriciens du hacking. FireSheep c’est la facilité à portée de main. En le testant moi même j’ ai été bluffé.

Les motivations de l’ auteur: E. Butler veut dénoncer le manque de sécurité que propose les sites Web . Les sites négligent cet aspect en ne fournissant pas de certificat SSL. Il veut pousser les sites à parfaire leur sécurité afin d’éviter que leurs utilisateurs fassent l’ objet d’ attaques inutiles. Le règne du SSL !!! Le concepteur du plugin ne veut pas dénoncer le Wifi non sécurisé mais le manque de connexion en HTTPS.

Solutions: L’ auteur en préconise trois (HTTPS-Everywhere — Force-TLS — VPN) tout en montrant les limites de chaque solution.

Pour les VPN, il en souligne deux (en Anglais dans le texte et cité intégralement):

  1. While we metnioned that VPNs and SSH tunnels can be helpful just above this, we want to emphasize that it’s just pushing the problem to that VPN or SSH endpoint. Your traffic will then leave that server just as it would when it was leaving your laptop, so anyone running Firesheep or other tools could access your data in the same way. These are solutions that require at least some understanding of networking and risks at hand. A blind suggestion of “Use a VPN” doesn’t really solve the problem and may just provide a false sense of security.En fait il pose le problème, récurrent, de la confiance que nous devons avoir vis à vis de notre fournisseur de VPN. C’est pourquoi il faut privilégier les VPN bien établis et sérieux comme VyprVPN
  1. Another problem with VPNs is that they don’t work all the time. Sometimes they just disconnect, and your traffic is all routed over your normal interface without any notice. The built in VPN clients on OSX, the iPhone, and iPad are particularly bad at this. C’est pourquoi il faut privilégier l’ OpenVPN plus stable, privilégier des VPN qui assurent une technique et une stabilité de connexion quasi-irréprochable. Ne pas hésiter à installer GuizmoOVPN sur son iphone, ipad.

La sécurité et nous le rejoignons sur ce point ne peut être assurée seulement par un outils, un protocole, un logiciel, …. Les VPN, sujet sur le blog qui nous passionne, sont un outils qui doivent s’ intégrer, rejoindre s’ accumuler à un ensemble. Même si cet outils seul est déjà extrêmement efficace.

Lors de nos tests les résultats anti-FireSheep sont probants avec un VPN !!! On a utilisé VpnTunnel.Se et VyprVPN. Aucun soucis, la colonne latérale est restée vide, VyprVPN et Vpntunnel sont en plus deux VPN de confiance.

AUTANT LE DIRE ==> RIEN NE NOUS ARRÊTERA

VOILA DÉJÀ 5 ANS QUE DES PERSONNES DE MAUVAISES MORALITÉS SÉVISSENT  ET POURTANT CELA FAIT TOUJOURS ASSEZ MAL.

NOUS NE CESSERONS JAMAIS DE VOUS SENSIBILISER.

Il y  a toujours autant de victimes. Evitez les connections du macdo-quick- des gares- ou encore un point de connexion dont tout le monde connais le mot de passe ou qui n a pas de mot de passe

ATTENTION : vous qui vous connectés sur des bornes gratuites , votre voisin avec son sourire ou cette belle nana juste

à coté va vous faire mal .

2ieme EXPLICATION SIMPLE D’UN INFORMATICIEN

Attention à ne pas vous faire voler vos identifiants sur Facebook, Twitter, Windows Live et bien d’autres services en ligne depuis un point d’accès Wi-Fi ouvert. Voilà, en résumé, le message que tient à faire passer Eric Butler, qui a développé une petite extension Firefox déjà célèbre. Elle a été téléchargée plus de 130 000 fois en quelques heures et  ça c’était en octobre 2010 , à tel point que le mot clé « firesheep » s’est retrouvé à la dixième place des recherches les plus souvent effectuées sur Google Etats-Unis .
Firesheep, présenté par Butler lors d’une conférence de « hacking » à San Diego, s’affiche dans un volet de Firefox . Le programme permet de capturer à la volée les cookies de connexion d’autres utilisateurs connectés au même point d’accès ouvert. L’outil peut récupérer, sans aucune intervention du pirate, des identifiants issus d’une trentaine de sites différents, d’Amazon à Google, en passant par Gowalla, Windows Live, Facebook et Twitter. Ils apparaissent simplement dans le volet. Il suffit alors de cliquer dessus pour se retrouver connecté sur le compte de la victime.

La faille : les cookies d’authentification

Comment cela fonctionne-t-il ? Eric Butler l’explique sur son blog :
« Quand vous vous “loguez” à un site vous commencez par soumettre votre nom d’utilisateur et votre mot de passe. Le serveur vérifie alors si un compte correspondant à cette information existe et, le cas échéant, vous répond avec un “cookie” qui est utilisé par votre navigateur pour toutes les requêtes suivantes. Les sites protègent très fréquemment votre mot de passe en cryptant votre identification initiale, mais il est rare, fait surprenant, que les sites cryptent le reste. Cela laisse le cookie (et l’utilisateur) vulnérable. Le détournement de session HTTP, que l’on appelle parfois “sidejacking”, intervient lorsqu’un attaquant s’empare du cookie de l’utilisateur, ce qui lui permet de faire tout ce que l’utilisateur peut faire sur un site particulier. Or, sur un réseau sans fil, les cookies sont comme “criés” en l’air, ce qui rend ces attaques extrêmement simples ».
C’est précisément pour dénoncer ce manque de sécurité côté sites Web que Butler a conçu son angoissant programme : « C’est un problème largement connu dont on a parlé jusqu’à plus soif, et pourtant les sites continuent de faillir à protéger leurs utilisateurs », explique-t-il.

Quelles solutions pour se prémunir contre Firesheep ?

Si c’est bien l’un des moyens les plus simples pour effectuer la manœuvre, Firesheep n’est pas le premier programme permettant de « pirater » des sessions HTTP, en théorie protégées par mot de passe, de cette manière. De nombreux logiciels, qui existent pour certains depuis bien des années, permettent le même genre d’attaques : « Très peu de choses ont changé après que chacun de ces logiciels ont été lancés. Ils ont eu leur succès médiatique à l’époque, et les gens ont oublié ou n’y ont pas fait attention. Et la plupart de ces outils ont seulement été utilisés par des gens passionnés de technologie, des hackers et des geeks. » A noter qu’il existe également des outils plus complexes permettant de faire de même… Sur des réseaux protégés par mot de passe.
En fournissant un outil de hacking « en un clic » Butler espère donc que Firesheep ira au-delà du simple phénomène médiatique et poussera les sites à parfaire leur sécurité afin d’éviter que leurs utilisateurs se fassent « voler » leur compte en quelques secondes. Pas sur qu’il y parvienne…
Malheureusement, il n’existe pas de solution miracle afin d’éviter ce genre de mésaventures. Toujours d’après Butler, « vous ne pouvez vous contenter d’éviter les sites attaqués par Firesheep. Il y a beaucoup de contenus mélangés sur le Web aujourd’hui, comme les boutons “j’aime” de Facebook, les widgets Twitter, et même les images intégrées hébergées sur Flickr et d’autres sites de partage de photos. A chaque fois que vous accédez à une page qui intègre ce type de contenus, votre navigateur envoie aussi le cookie d’authentification nécessaire.
Que faire alors pour se protéger ? Eviter les points d’accès ouverts paraît être une mesure de choix, même si elle est contraignante et rejetée par Butler, qui estime que ce n’est pas le problème :
 « il n’y a pas de vulnérabilité dans le Wi-Fi, il y en a sur les sites que vous utilisez. »
Lui préfère mentionner d’autres extensions Firefox, comme HTTPS-Everywhere et Force-TLS, qui sont contraignants car difficiles à maîtriser et ne pas compatibles avec tous les sites à risque. Utiliser un VPN permet en revanche d’éviter les problèmes.
En fait, pour Butler, il n’y a qu’une seule solution pour éradiquer le problème : que les sites embrassent le HTTPS ou SSL/TLS, deux protocoles de communication qui permettent de crypter les échanges de données. En attendant, gare aux réseaux Wi-Fi ouverts !

Tags: 

EBOA NDOUMBE

What Next?

Related Articles

Leave a Reply

You must be Logged in to post comment.