Hotspots KPN zo lek als een mandje?

[Verwijderd]

Op de Volkskrant stond laatst het bericht "Hotspots KPN zo lek als een mandje" waarin wordt verteld dat je makkelijk het verkeer van een wifi netwerk via jouw computer kunt laten lopen en dat je https met een truucje naar http om kunt zetten. Dat klinkt eng.

Maar nu vroeg ik mij af of dat inderdaad zo makkelijk te doen is, of dat de journalist het eigenlijk wel wat te simpel stelt.
En als het inderdaad zo makkelijk is, is er dan een manier om te herkennen dat iemand dit aan het doen is?

Want, stel dat ik op zo'n onbeveiligd wifi netwerk zit en surf naar https://gmail.com. Hoe weet ik zeker dat ik veilig mijn wachtwoord in kan typen?

Ik weet niet of links naar hackersinfo zijn toegestaan, maar als dat wel zo is, zijn er wat resources waar wat handleidingen te vinden zijn? Niet om zelf te hacken (nee, echt niet) maar om beter te begrijpen hoe het werkt.

[CherandarGuard]

Op een publiek netwerk weet je sowieso nooit zeker of je veilig je gegevens over het netwerk kan sturen.
Bij een draadloos netwerk weet je al vrij zeker dat het NIET veilig is om dat te doen (shared medium enzo).

Ik zie hier weinig schokkends in.

[Verwijderd]

Het is niet mogelijk een HTTPS verbinding voor de gek te houden of uit te lezen. Tenzij de gebruiker op Ja doorgaan klikt bij de MEGA waarschuwing dat het certificaat ongeldig is, of het certificaat origineel al ongeldig was of de private keys waarmee het certificaat gemaakt is beken zijn bij de hacker. Met zekerheid valt te zeggen dat deze private keys niet bekend zijn, dit zou namelijk groot nieuws zijn.

Brute forcen is zelfs op zwakkere certificaten nog niet praktisch mogelijk. Al kunnen cloud diensten daar wel nog verschil in maken op korte termijn.

Dus als je zit op een HTTPS verbinding (of andere beveiligde verbinding) dan maakt het niets uit dat het netwerk zelf publiek is. Hooguit kan men zien naar welke server je verbind, maar dat iemand verbonden is met gmail lijkt me nu niet direct schokkend.

[Xander]

Dit lijkt me op zich geen nieuws, KPN geeft zelf al aan dat de verbinding niet beveiligd is. Daarom adviseren ze een VPN te gebruiken?

edit:

Ah, het artikel staat ook online.

quote: http://www.volkskrant.nl/...-lek-als-een-mandje.dhtml

AMSTERDAM - Veel openbare wifi-netwerken van KPN zijn zo lek als een mandje. Met een aantal gratis te downloaden programmaatjes kan een amateurhacker eenvoudig wachtwoorden en inloggegevens achterhalen van mensen die via het draadloze wifi-netwerk gebruik maken van zogenaamd beveiligde websites.
Dat blijkt uit een demonstratie aan de Volkskrant van Lennart Ackermans (18), een leerling van het Amsterdamse Vossius Gymnasium. Op Schiphol, waar KPN gebruik van het wifi-netwerk sinds 16 december 2010 gratis aanbiedt aan reizigers, laat hij zien hoe eenvoudig het is.

Dataverkeer
Met een programma zorgt hij ervoor dat al het dataverkeer van apparaten die gebruik maken van het wifi-netwerk eerst via zijn computer loopt voor het langs de router van KPN gaat. Met andere software zet hij zogenaamd beveiligde https-websites om naar de onbeveiligde http-standaard.

Na vijf minuten wachten is Ackermans al drie wachtwoorden van Facebook, mijn.ing.nl en Gmail van nietsvermoedende gebruikers rijker. E-mails versturen namens anderen, inzicht krijgen in andermans correspondentie en zich toegang verschaffen tot andermans rekeninggegevens zijn met die gegevens een fluitje van een cent. Het achterhalen van wachtwoorden van anderen is ook mogelijk bij de betaalde variant van het wifi-netwerk, stelt Ackermans.

Amateuristisch
De grootste fout die KPN maakt, bestaat er volgens de hacker uit dat hij met zijn computer toegang kan krijgen tot andere wifi-apparaten in de buurt. 'Dat zijn gegevens die ook via het netwerk van KPN lopen en dus iets dat zij eenvoudig zouden moeten kunnen uitschakelen.' Dat KPN dat niet heeft gedaan noemt hij 'amateuristisch.'

Een andere zwak punt is dat KPN ervoor heeft gekozen het wifi-netwerk op Schiphol te centraliseren. 'Alle data lopen via een of een paar routers, daardoor kan ik ook al het verkeer van alle reizigers op Schiphol opvangen.'

Hoeveel zogenoemde hotspots van KPN lek zijn, is niet duidelijk. Een test in het Amsterdamse café Vertigo laat zien dat het netwerk daar exact dezelfde zwakheden vertoont. Het doet de jonge hacker vermoeden dat het om standaardinstellingen gaat. 'De kans is groot dat dit voor al hun hot-spots geldt.'

Prominenter
Een woordvoerder van KPN stelt in een reactie dat verkeer via draadloze netwerken nooit honderd procent veilig is. Om die reden raadt het bedrijf gebruikers van hotspots ook aan eerst een beveiligde persoonlijke verbinding (vpn) op te zetten alvorens het internet op te gaan. Het biedt de software daarvoor gratis aan op de site. De woordvoerder erkent dat die waarschuwing 'misschien wel prominenter op de site moet worden geplaatst.' Toch legt hij veel verantwoordelijkheid bij de gebruikers van draadloze netwerken zelf; 'je kan er ook voor kiezen geen vertrouwelijke zaken te regelen op een openbaar netwerk.'

Volgens de woordvoerder is er op technisch gebied aan KPN-kant wel iets te doen dat het euvel kan verhelpen, maar zou dat te veel kosten met zich meebrengen om een en ander commercieel nog aan te kunnen bieden. 'Het gaat om een afweging tussen gebruiksgemak, veiligheid en kosten.' Bovendien, stelt hij, 'is het feit dat beveiligde https-websites omgezet kunnen worden in niet-beveiligde http-sites een veiligheidsprobleem van die websites. Die hebben hun eigen verantwoordeiljkheid.'

[ Voor 89% gewijzigd door Xander op 17-01-2011 11:37 ]

[Verwijderd]

Excuus, ik kom er net achter dat ik de link naar het artikel helemaal niet erbij heb gezet: http://www.volkskrant.nl/...-lek-als-een-mandje.dhtml (Net te laat. )

Het is inderdaad geen nieuws dat je al het verkeer op een onbeveiligd (wifi)netwerk kunt sniffen en afluisteren. Maar dat is niet wat dit bericht zegt of suggereert te zeggen.

Anders gezegd staat er dat de hacker in staat is om het netwerkverkeer om te buigen via zijn computer (man in the middle idee) én dat hij https naar http omzet.
Dat klinkt mij toch behoorlijk schokkend in de oren, of als klinklare onzin. Mijn vemoeden is dat laatste, maar ik ben niet eigenwijs genoeg om dat zo stellig te durven zeggen.

[0fbe]

HTTPS naar HTTP omzetten is gewoon onmogelijk, klaar. Wat echter het probleem is dat Facebook als er geen HTTPS beschikbaar is (voor landen zoals China) terug valt op HTTP. Dat staat ook in het artikel trouwens: "'is het feit dat beveiligde https-websites omgezet kunnen worden in niet-beveiligde http-sites een veiligheidsprobleem van die websites." Dit heeft dus niks te maken met die Hotspots van KPN en de beveiliging daarvan.

[ Voor 13% gewijzigd door 0fbe op 17-01-2011 11:45 ]

[Henk Poley]

HTTPS naar HTTP omzetten is gewoon onmogelijk, klaar.

Wel is er een tijd een probleem geweest met 'content re-negotiation' in sommige (nu dus ouder) browsers. Als je de volledige gegevens stroom tussen een browser en de website kon beïnvloeden dan kon je het server antwoord zo veranderen dat het "Uhh.. ik kan opeens geen HTTPS meer.." leek te zijn voor de browser, die dan prompt zonder beveiliging terug ging praten.

Aan de server kant kon het opgelost worden door content renegotiation in het geheel niet toe te staan, maar dan kan de browser dus alsnog een gedeelte ongecodeerd versturen voordat de server de verbinding kapt. Aan de browser kan of wel een waarschuwing worden gegeven, of het in het geheel niet toestaan naar een on-/minder beveiligde verbinding terug te vallen.

Als je up-to-date bent met je software zal je browser in ieder geval niet zomaar meer overschakelen.

[ Voor 4% gewijzigd door Henk Poley op 17-01-2011 12:02 ]

[Marzman]

Publieke hotspots zijn altijd onveilig. Ze werken met authenthificatie ipv WPA en zelfs al zouden ze WPA gebruiken dan moeten ze de sleutel bij iedereen bekend maken en kun je nog zo "meeluisteren". Ik zou het inderdaad niet gebruiken voor bankzaken, na een vakantie waarin ik verschillende hotspots gebruikt heb verander ik ook altijd mijn wachtwoorden van de diensten die ik gebruikt heb.

Wat je misschien zou kunnen doen (artikel niet gelezen) is jezelf voordoen als de KPN hotspot zodat mensen via jou internetten. Https naar http omzetten kan gewoon, was Tunesie daar niet pas mee in het nieuws dat ze dat gewoon voor het hele land even hadden gedaan om achter wachtwoorden te komen?

[edit]

simplendi schreef op maandag 17 januari 2011 @ 11:42:
HTTPS naar HTTP omzetten is gewoon onmogelijk, klaar. Wat echter het probleem is dat Facebook als er geen HTTPS beschikbaar is (voor landen zoals China) terug valt op HTTP. Dat staat ook in het artikel trouwens: "'is het feit dat beveiligde https-websites omgezet kunnen worden in niet-beveiligde http-sites een veiligheidsprobleem van die websites." Dit heeft dus niks te maken met die Hotspots van KPN en de beveiliging daarvan.

Volgens mij is dit wat ik bedoelde met Tunesie, kan zijn dat het China was of dat beide landen het truukje toegepast hebben. Het heeft inderdaad niks te maken met de hotspot van KPN omdat je dan niet via KPN online bent maar van iemand die er uitziet als de hotspot van KPN. Het probleem blijft dan evengoed bestaan als je als gebruiker het verschil niet ziet.

[ Voor 39% gewijzigd door Marzman op 17-01-2011 12:11 ]

[Verwijderd]

Ik ga er zelf bij hotspots inderdaad vanuit dat er gewoon geen beveiliging is. Onveilig is niet hetzelfde als 'lek als een mandje'. Als je gewoon geen beveiliging hebt, dan is dat erg onveilig maar is er ook niets dat lek kan zijn.

Maar het is dus zo te horen niet zomaar mogelijk om het netwerkverkeer te kapen (via jou te laten lopen). En dan bedoel ik wat anders dan jezelf als KPN hotspot voor te doen en dan jouw verbinding via KPN te laten lopen zodat het er net als echt uitziet.
Klopt dat?

[Verwijderd]

Gebruik een VPN om eerst in te bellen (thuis op een DD-WRT router kan dat), of neem een commercieel VPN account (bv bij StongVPN).

En ga daarna pas het net op.

[NjitsSs]

Software hiervoor (firefox plugin Firesheep) heeft zelfs op de frontpage van Tweakers gestaan...
Dat stuk software werkte verbazingwekkend goed: Gewoon laten draaien op een onbeveiligd wifi netwerk, en het programma doet de rest... Snel genoeg zie je verschillende accounts (o.a.) Facebook langskomen...

[Verwijderd]

Ok, samengevat:

Alle http netwerkverkeer kun je op een slecht beveiligde hotspot afluisteren. Dat is simpel.
Https kun je niet afluisteren en kun je niet omzetten naar http, is dus veilig.
Netwerkverkeer kun je niet zondermeer kapen, je moet iemand 'voor de gek houden'.

Oftewel, dat artikel is gaat over een open deur die helemaal niet op slot zat en dan zeurt dat je er erdoor heen kunt lopen. Kijk, dan snap ik het weer.

[Glewellyn]

Wat mij vooral zorgen baart is het noemen van een mijn.ing.nl account.
Zodra ik namelijk naar http://mijn.ing.nl ga word ik geredirect naar https. Ik ben dan wel heel benieuwd hoe hij dan accountgegevens verzamelt.

[mbaltus]

HTTPS is een stuk minder veilig dan gezegd. Er zijn voldoende (security-achtige) proxies die tussen de client en de server gaan zitten om het HTTPS verkeer te controleren. Deze proxies zetten zelf een HTTPS verbinding op naar de server en bieden de client een HTTPS verbinding met hun eigen certificaat.

Dit is een vaker gebruikte manier in bedrijfsnetwerken om te voorkomen dat virussen of andere ongewenste via SSL alsnog naar binnen kan.

[Verwijderd]

Maar dat kun je als gebruiker wel zien, toch? Je kunt zien of de https verbinding echt van bijv. ING is, of van een (onbekende) tussenpersoon/proxy.
Zo niet, dan is https gewoon niet veilig.
Zo wel, dan is het aan de gebruiker om goed op te letten.

[Glewellyn]

mbaltus schreef op maandag 17 januari 2011 @ 22:33:
HTTPS is een stuk minder veilig dan gezegd. Er zijn voldoende (security-achtige) proxies die tussen de client en de server gaan zitten om het HTTPS verkeer te controleren. Deze proxies zetten zelf een HTTPS verbinding op naar de server en bieden de client een HTTPS verbinding met hun eigen certificaat.

Dit is een vaker gebruikte manier in bedrijfsnetwerken om te voorkomen dat virussen of andere ongewenste via SSL alsnog naar binnen kan.

Dat klopt, SSL offloading is vrij algemeen. Maar dan moet de proxy die de SSL offloading doet wel over het certificaat van de betreffende instantie (in dit geval ING) beschikken om de sessie naar mijn client te signen.

Dus ik blijf me afvragen hoe hij achter dat ING wachtwoord is gekomen.

[Verwijderd]

Het verkeer via jou computer laten lopen gebeurt dmv ARP spoofing. Dit houdt in dat je alle computers in het netwerk gaat vertellen dat jij de router bent. Als de clients jou geloven dan versturen ze al het verkeer eerst naar jou, en stuur jij het vervolgens door naar de echte router. Hier zijn wel oplossingen voor (deze heeft NS met zijn internet in de trein bijvoorbeeld), maar ARP spoofing is al heel oud en werkt eigenlijk op praktisch elk netwerk.

Dat HTTPS omzeilen gebeurt dmv SSL strip. Dit is een programma welke alle HTTPS links omzet naar HTTP. Dit werkt omdat de meeste mensen surfen naar www.gmail.com ipv https://www.gmail.com. Hierdoor maakt jou browser allereerst een verbinding over het HTTP protocol (wil je dit niet dan kun je eens kijken naar de HTTPS everywhere Firefox plugin). Omdat HTTP onversleuteld is kan SSL strip in de code die wordt overgestuurd gaan rommelen. Normaliter verwijst het inlogveld bijv naar https://gmail.com/login (oid), maar SSL strip maakt hier dus http://gmail.com/login. Hierdoor blijft de browser via HTTP surfen.

Wil je hier niet vatbaar voor zijn, zorg er dan voor dat je handmatig https://<url> intypt. Hierdoor accepteert je browser alleen maar SSL verbindingen en ben je hier dus niet vatbaar voor.

Het artikel is dus inderdaad open deuren intrappen. ARP spoofing en SSL strip werkt op 99.99% van alle netwerken.

[Glewellyn]

Verwijderd schreef op dinsdag 18 januari 2011 @ 09:49:
Het verkeer via jou computer laten lopen gebeurt dmv ARP spoofing. Dit houdt in dat je alle computers in het netwerk gaat vertellen dat jij de router bent. Als de clients jou geloven dan versturen ze al het verkeer eerst naar jou, en stuur jij het vervolgens door naar de echte router. Hier zijn wel oplossingen voor (deze heeft NS met zijn internet in de trein bijvoorbeeld), maar ARP spoofing is al heel oud en werkt eigenlijk op praktisch elk netwerk.

Ja, of nog makkelijker, zet gewoon een onbeveiligd accesspoint open met een betrouwbaar uitziende naam. "Schiphol Free WiFi" op Schiphol gaat gegarandeerd mensen trekken.

Verwijderd schreef op dinsdag 18 januari 2011 @ 09:49:
Dat HTTPS omzeilen gebeurt dmv SSL strip. Dit is een programma welke alle HTTPS links omzet naar HTTP. Dit werkt omdat de meeste mensen surfen naar www.gmail.com ipv https://www.gmail.com. Hierdoor maakt jou browser allereerst een verbinding over het HTTP protocol (wil je dit niet dan kun je eens kijken naar de HTTPS everywhere Firefox plugin). Omdat HTTP onversleuteld is kan SSL strip in de code die wordt overgestuurd gaan rommelen. Normaliter verwijst het inlogveld bijv naar https://gmail.com/login (oid), maar SSL strip maakt hier dus http://gmail.com/login. Hierdoor blijft de browser via HTTP surfen.

Dat klinkt inderdaad logisch, als man in the middle de SSL sessie onderhouden en de client gewoon via HTTP bedienen. Veel mensen zullen dat inderdaad niet doorhebben.