Veiligheidsproblemen netwerk

[iboowtje]

Beste Tweakers,

Wat vinden jullie ervan dat met simpele programma's zoals Cain & Abel en Firesheep mogelijk maakt om wachtwoorden te achterhalen en sessies over te nemen. Ik vind het nogal vreemd dat het zo makkelijk is om het verkeer binnen je netwerk te 'monitoren'. En heel vreemd vind ik dat zelfs https sessies niet veilig zijn. En het raarste is dat de meeste internetgebruikers niet op de hoogte zijn van dit soort praktijken. Ik heb als voorbeeld een youtube filmpje gemaakt: knip. Ook heb ik een website opgericht genaamd knip.

Wat vinden jullie hiervan ?

[ Voor 11% gewijzigd door iisschots op 24-11-2011 07:08 ]

[Biersteker]

Compleet mee eens, en ben nu bezig met een tool die dat herkent
hoewel https sessies wel veilig zijn in verhouding. Aangezien cain and abel gebruik maakt van self signing certificates, die natuurlijk niet altijd als geldig worden ervaren. Na een shitload aan testen kwam ik erachter dat de machtigste optie van cain and abel dns spoofing is. In combinatie met virtual box met een backtrack5 en SET. Hoewel natuurlijk dit soort informatie niet op tweakers mag. (Iets met hacking = not allowed). Maar misschien kunnen we wel iets doen met een test programma van me. Ik ga binnenkort me programma (als hij af genoeg is) testen op een middelbare school. (Btw, me proggie herkent arp poisening binnen 1 sec, want timer is 1000) Als je een test versie wilt, moet je me ff dmen. Het is uiteindelijk wel bedoeld voor de verkoop namelijk.

@hieronder . Comodo moet het ook kunnen, maar de optie staat standaard uit. Maar tooltje dat ik aan het maken ben herkent iedere verandering in de arp table, en geeft een melding.

Nog een edit. Linux kernel 2.3.7 dacht ik, heeft al ingebouwde arp detection.

[ Voor 97% gewijzigd door Biersteker op 24-11-2011 01:11 ]

[iboowtje]

Biersteker schreef op donderdag 24 november 2011 @ 01:03:
Compleet mee eens, en ben nu bezig met een tool die dat herkent

Xarp is een tool die het herkent binnen een netwerk. Ook heb ik gemerkt dat Eset Smart Security 5 het door heeft

[Verwijderd]

In het filmpje wordt een gebruikersnaam+wachtwoord ingevuld op een pagina met een vette foutmelding over het certificaat. Niet zo handig.

Je praat dus onzin. Het is niet zomaar mogelijk om wachtwoorden te achterhalen of sessies over te nemen. Daar heb je ook nog een eindgebruiker voor nodig die geen verstand heeft van beveiliging en die geen flauw idee heeft wat hij doet. Ja, daar zijn er genoeg van, maar leg eens uit hoe mensen die "3 keer kloppen" snappen hier in zouden trappen?

[Thralas]

iboowtje schreef op donderdag 24 november 2011 @ 01:02:
En heel vreemd vind ik dat zelfs https sessies niet veilig zijn.

Ik zie toch echt een waarschuwing van IE "U wordt aangeraden om dit venster te sluiten en niet naar deze webpagina te gaan". Als je er toch voor kiest om een niet-vertrouwd certificaat te accepteren, dan is dat je eigen fout. In Firefox is het accepteren van een niet-vertrouwd certificaat (terecht) nog moeilijker gemaakt.

[iboowtje]

Biersteker schreef op donderdag 24 november 2011 @ 01:03:
Compleet mee eens, en ben nu bezig met een tool die dat herkent
hoewel https sessies wel veilig zijn in verhouding. Aangezien cain and abel gebruik maakt van self signing certificates, die natuurlijk niet altijd als geldig worden ervaren. Na een shitload aan testen kwam ik erachter dat de machtigste optie van cain and abel dns spoofing is. In combinatie met virtual box met een backtrack5 en SET. Hoewel natuurlijk dit soort informatie niet op tweakers mag. (Iets met hacking = not allowed). Maar misschien kunnen we wel iets doen met een test programma van me. Ik ga binnenkort me programma (als hij af genoeg is) testen op een middelbare school. (Btw, me proggie herkent arp poisening binnen 1 sec, want timer is 1000) Als je een test versie wilt, moet je me ff dmen. Het is uiteindelijk wel bedoeld voor de verkoop namelijk.

@hieronder . Comodo moet het ook kunnen, maar de optie staat standaard uit. Maar tooltje dat ik aan het maken ben herkent iedere verandering in de arp table, en geeft een melding.

Juist daarom vind ik het nogal vreemd omdat je ervoor kan kiezen om de certificaten toch te accepteren en wnr internetgebruikers dit soort schermpjes krijgen : knipgaat 90% toch door . En zo merkt je ook dat hotspots scholen en bedrijven niet veilig zijn de meeste aanvallen gebeuren vanuit binnen. Ook een functie binnen Cain is DNS spoofing wat helemaal vreemd is dat het kan

[ Voor 2% gewijzigd door iisschots op 24-11-2011 07:08 ]

[Biersteker]

Ach, als je wireshark combineert met cain and abel, dan maakt je zo een facebook cookie na. https is ook soms maar een grap. (iets met abn.nl)

[ Voor 6% gewijzigd door Biersteker op 24-11-2011 01:17 ]

[iboowtje]

Thralas schreef op donderdag 24 november 2011 @ 01:14:
[...]


Ik zie toch echt een waarschuwing van IE "U wordt aangeraden om dit venster te sluiten en niet naar deze webpagina te gaan". Als je er toch voor kiest om een niet-vertrouwd certificaat te accepteren, dan is dat je eigen fout. In Firefox is het accepteren van een niet-vertrouwd certificaat (terecht) nog moeilijker gemaakt.

Ik zou zeggen probeer maar eens uit op een aantal mensen geloof me je zult versteld staan. Zelfs systeembeheerders negeren het . Het leuke is je kan kiezen om de site te verlaten wat groen is waar mensen automatisch op klikken waarna Internet word afgesloten daarna gaan ze er toch maar in

[Verwijderd]

Biersteker schreef op donderdag 24 november 2011 @ 01:16:
Ach, als je wireshark combineert met cain and abel, dan maakt je zo een facebook cookie na. https is ook soms maar een grap. (iets met abn.nl)

Zonder private key ga je echt geen HTTPS verkeer decrypten, tenzij de gebruiker zo stom is om een ongeldig certificaat te accepteren.

[Thralas]

iboowtje schreef op donderdag 24 november 2011 @ 01:14:
[...]


Juist daarom vind ik het nogal vreemd omdat je ervoor kan kiezen om de certificaten toch te accepteren

Gelukkig maar, ik kom nog wel eens een expired of self-signed certificaat tegen; daar ik weet waar ik mee bezig ben wil ik die graag kunnen accepteren.

en wnr internetgebruikers dit soort schermpjes krijgen :knip gaat 90% toch door .

Mwa, de browser meldt toch echt duidelijk dat er geen garantie meer is dat je verkeer veilig is. Heb je harde cijfers?

En zo merkt je ook dat hotspots scholen en bedrijven niet veilig zijn de meeste aanvallen gebeuren vanuit binnen. Ook een functie binnen Cain is DNS spoofing wat helemaal vreemd is dat het kan

Tja, VPN en (ooit) DNSSEC...

In de thuis/werksituatie zou ik me eerder zorgen maken om trojans als ZeuS/SpyEye (aka. Man in the Browser). Publieke WiFinetwerken blijven echter inderdaad een lastig punt (sslstrip/firesheep etc.) - niets is veilig, een VPN opzetten te complex, en men wil toch internetten..

security = usability^-1

[ Voor 16% gewijzigd door iisschots op 24-11-2011 07:09 ]

[iboowtje]

In de thuis/werksituatie zou ik me eerder zorgen maken om trojans als ZeuS/SpyEye (aka. Man in the Browser). Publieke WiFinetwerken blijven echter inderdaad een lastig punt (sslstrip/firesheep etc.) - niets is veilig, een VPN opzetten te complex, en men wil toch internetten..

security = usability^-1

Waarom krijg je dan ook de keuze om de certificaat-fout toch te negeren. Moeten de browsers geen manier vinden om het tegen te gaan ?

[Biersteker]

Verwijderd schreef op donderdag 24 november 2011 @ 01:19:
[...]

Zonder private key ga je echt geen HTTPS verkeer decrypten, tenzij de gebruiker zo stom is om een ongeldig certificaat te accepteren.

Klopt, maar abn.nl gaat toch een gedeelte via http. Maar facebook, die zijn echt crappy.

[iboowtje]

Verwijderd schreef op donderdag 24 november 2011 @ 01:14:
In het filmpje wordt een gebruikersnaam+wachtwoord ingevuld op een pagina met een vette foutmelding over het certificaat. Niet zo handig.

Je praat dus onzin. Het is niet zomaar mogelijk om wachtwoorden te achterhalen of sessies over te nemen. Daar heb je ook nog een eindgebruiker voor nodig die geen verstand heeft van beveiliging en die geen flauw idee heeft wat hij doet. Ja, daar zijn er genoeg van, maar leg eens uit hoe mensen die "3 keer kloppen" snappen hier in zouden trappen?

Ik zou zeggen probeer het : cain en abel inc met firesheep. Ik heb het getest op hotmail.com en wanneer ik probeer uit te loggen krijg ik een melding sorry het is niet mogelijk om u af te melden. En hierbij merk je echt niks

[iboowtje]

Biersteker schreef op donderdag 24 november 2011 @ 01:29:
[...]

Klopt, maar abn.nl gaat toch een gedeelte via http. Maar facebook, die zijn echt crappy.

Is het niet beter dat ing.nl niet inlogt net als rabobank via een random reader ?

[iboowtje]

@Biersteker probeer eens ook netcut

[Thralas]

iboowtje schreef op donderdag 24 november 2011 @ 01:29:
Waarom krijg je dan ook de keuze om de certificaat-fout toch te negeren. Moeten de browsers geen manier vinden om het tegen te gaan ?

Ik val wel een beetje in herhaling - omdat men slechts tot op zekere hoogte rekening houdt met onhandige gebruikers. Als je het advies dat IE je voorschotelt negeert is dat jouw probleem/risico.

Biersteker schreef op donderdag 24 november 2011 @ 01:29:
Klopt, maar abn.nl gaat toch een gedeelte via http. Maar facebook, die zijn echt crappy.

Als ik direct naar https://www.abnamro.nl/ browse dan gaat je het niet lukken om traffic te onderscheppen.

Helaas doet bijna niemand dat, en zodra je een http-pagina opvraagt is er een veel effectievere methode dan een niet-vertrouwd certificaat voorschotelen (levert uiteraard een grote warning op) - van alle links https strippen en via HTTP alsnog de banking interface MITM'en.

(Wat betreft je Facebook-voorbeeld: session cookies die toch op de een-of-andere manier over HTTP verstuurd worden is ook een leuke ja)

EDIT: Facebook zelf heeft het allang(?) verholpen

[Biersteker]

Tsja, zoals ik zei; Zolang je out of the box blijft denken kan je altijd net iets te veel.
Rabo en abn gebruiken een security token systeem. ING daarintegen gebruikt een inlog systeem gecombineerd met een TAN code via sms.
Stel je deze situatie eens voor:
Cain & Abel + DNS spoof + SET maakt mijn.ing.nl na (met alleen HTTP arp poisening aan). Jij logt in, dan krijg je geen foutmelding, en je HTTPS verkeer komt wel gewoon normaal aan. Als je dan een nummerbehoud doet, dan heb je inlognaam, wachtwoord en een mobiel waar tancodes op komen.

Edit: Nou, nee. Facebook heeft wat aanpassingen gedaan, maar door de crappy entropie (berekenbaar) kom je er uiteindelijk toch.

[ Voor 10% gewijzigd door Biersteker op 24-11-2011 01:43 ]

[iboowtje]

Biersteker schreef op donderdag 24 november 2011 @ 01:41:
Tsja, zoals ik zei; Zolang je out of the box blijft denken kan je altijd net iets te veel.
Rabo en abn gebruiken een security token systeem. ING daarintegen gebruikt een inlog systeem gecombineerd met een TAN code via sms.
Stel je deze situatie eens voor:
Cain & Abel + DNS spoof + SET maakt mijn.ing.nl na (met alleen HTTP arp poisening aan). Jij logt in, dan krijg je geen foutmelding, en je HTTPS verkeer komt wel gewoon normaal aan. Als je dan een nummerbehoud doet, dan heb je inlognaam, wachtwoord en een mobiel waar tancodes op komen.

Wat je wel kan doen is een paypal account koppelen je ziet namelijk wel de bedragen
Bedankt Paypal

[Biersteker]

We beginnen trouwens wel echt de verkeerde kant op te gaan met dit topic . Zoals al gezegd, dit soort discussies vinden de mods meestal niet zo relaxed. Niet omdat hun persoonlijke interesse er niet is, maar omdat VNU niet verantwoordelijk wil zijn voor hacking activity. Misschien moeten we het toch op preventie houden

Hoewel goedbedoeld, gaan we toch ongemerkt alle mogelijk exploits opzoeken. Ben bang dat ik voor de Mods al te veel heb gezegd in dit topic (sorry lieve mods, ik dacht dat ik ontopic bleef)

Hoewel ik ARP poisening doodeng blijf vinden, en daarom ook maar een tooltje heb gemaakt, dat het blijft checken, met serverside oplossing, die per direct de client kan blocken, en de arp tables kan herstellen.

[ Voor 40% gewijzigd door Biersteker op 24-11-2011 01:50 ]

[Thralas]

Biersteker schreef op donderdag 24 november 2011 @ 01:41:
Edit: Nou, nee. Facebook heeft wat aanpassingen gedaan, maar door de crappy entropie (berekenbaar) kom je er uiteindelijk toch.

Entropie van wat?

[Biersteker]

Thralas schreef op donderdag 24 november 2011 @ 01:57:
[...]


Entropie van wat?

Encryptie van PHP coockies. Er zwerft volgens mij nog een leuk filmpje rond van defcon over de entropie van de encryptie van facebook. Uit me hoofd, dus pin me er niet op vast, kon de entropie verlaagd worden van 512 bit naar iets van 34 bit. Aan de hand van, date/time server op millisecond, en nog een paar dingen. Ik ga even voor je zoeken. How to date your girlfriend heette het dacht ik. Ben zo terug met een linkie. YouTube: DEFCON 18: How I Met Your Girlfriend 1/3 There it is.

[ Voor 18% gewijzigd door Biersteker op 24-11-2011 02:07 ]

[Thralas]

offtopic:
Ah, die ken ik.

In PHP 5.3.2 is dit ook al aangepast; men heeft de entropie van de LCG (gebruikt in session ID-generatie) verhoogd. Session hijacken dmv. voorspellen van 'seed values' lukt je nu dus (rederlijkerwijs) niet meer. Nevertheless een erg leuke talk.

[iisschots]

De discussie in dit topic is leuk, vind het nog niet over de schreef zijn geweest. Zit er wel tegenaan.

Waar ik meer problemen mee heb in dit topic is het promoten van een eigen website. Daarom zal hij ook op slot gaan. Zie: Het algemeen beleid #verbodenspam

Mocht men een los topic willen starten over technieken die gebruikt worden (zolang er niet te veel in details getreed word) en wat gedaan kan worden om het te voorkomen vind ik dat prima.