Beveiliging (Van den Elsen wacht op Antwoord)

[BugBoy]

Ik zag deze uitzending en was nogal verbaasd over de hack in het begin van de uitzending. In het kort komt het hier op neer:

1. Ze zetten een hotspot neer met de naam van de kroeg waar je zit.
2. Facebook verkeer wordt omgeleid via een speciaal programma op hun hotspot.
3. Op het moment als jij Facebook bezoekt dan moet je opnieuw je wachtwoord invullen en dan zien zij je wachtwoord. Op de laptop is er niets van te merken.

Volgens mij werkt dat helemaal niet. Als ik normaal inlog op Facebook, dan log ik in via een HTTPS verbinding. Het certificaat dat ik krijg is gesigned met één van de rootcertificates op mijn systeem (anders krijg ik een waarschuwing). Een man-in-the middle attack (zoals deze) lijkt me dan eigenlijk onmogelijk. Een eigen certificaat doorsturen geeft een waarschuwing op mijn computer (niet gesigned door een root-autoriteit) en het Facebook certificaat kunnen zij niet decrypten (alleen public gedeelte krijg je te zien).

De zogenaamde hacker in het programma is van Fox IT, dus ik neem aan dat het geen onzinverhaal is. Maar ik vraag me even af wat de achterliggende gedachte is van de hack.

[Nvidiot]

Als iemand je een nep versie van facebook voorschoteld die alles via HTTP doet dan zal je browser niet waarschuwen.

[!null]

Zal inderdaad wel gewoon via HTTP gaan, zonder waarschuwingen.
Maar stel dat het wel met HTTPS gebeurt, zouden ze dan niet gewoon het originele certificaat van facebook kunnen gebruiken? De browser (die ook het certificaat valideert) weet niet beter dan dat hij echt met facebook.com zit te praten, omdat het adres gelijk is. Tja de hotspot doet er heel wat anders mee, maarja. Of ben ik toch iets vergeten?

[Verwijderd]

In dat filmpje wordt de bezoeker omgeleid naar een malafide Facebook pagina die de melding geeft opnieuw in te loggen.

[ Voor 71% gewijzigd door Verwijderd op 04-03-2012 13:07 ]

[BugBoy]

!null schreef op zondag 04 maart 2012 @ 12:56:
Maar stel dat het wel met HTTPS gebeurt, zouden ze dan niet gewoon het originele certificaat van facebook kunnen gebruiken? De browser (die ook het certificaat valideert) weet niet beter dan dat hij echt met facebook.com zit te praten, omdat het adres gelijk is.

Dat kan wel, maar dan kan de hotspot de data niet decrypten, omdat in het certificaat alleen de public key zit en niet het private key gedeelte.

[BugBoy]

Verwijderd schreef op zondag 04 maart 2012 @ 13:00:
In dat filmpje wordt de bezoeker omgeleid naar een malafide Facebook pagina die de melding geeft opnieuw in te loggen.

Aha, dat had ik niet gezien. Dat is inderdaad goed mogelijk. Vroeger gaf de browser volgens mij altijd een waarschuwing als je van HTTPS naar HTTP werd geredirect, maar blijkbaar gebeurt dat niet meer. Oppassen met inloggen dus als je vanaf een vreemde hotspot probeert in te loggen. Ik neem aan dat mobile apps, zoals Facebook, wel actief op HTTPS controleren. Anders ben je inderdaad wel een keer de Sjaak, want daar kun je niet zien wat het onderliggende protocol is.

[The Lord]

!null schreef op zondag 04 maart 2012 @ 12:56:
Zal inderdaad wel gewoon via HTTP gaan, zonder waarschuwingen.

Het is inderdaad http.

[Nivk]

Waarom een hotspot, zelfs in hetzelfde netwerk zou je een session kunnen hijacken lijkt mij zo.

[The Lord]

Nivk schreef op zondag 04 maart 2012 @ 18:20:
Waarom een hotspot, zelfs in hetzelfde netwerk zou je een session kunnen hijacken lijkt mij zo.

Mogelijk wel. Maar dan moet je moeite doen om uit te zoeken op welke manier. Een hotpot is eenvoudig op te zetten met al gevolg dat een man in the middel attack ook eenvoudig kan worden opgezet.

[RemcoDelft]

Verwijderd schreef op zondag 04 maart 2012 @ 13:00:
In dat filmpje wordt de bezoeker omgeleid naar een malafide Facebook pagina die de melding geeft opnieuw in te loggen.

Dan weet je als gebruiker toch al genoeg? Ik log nooit handmatig in op Facebook, als ik dat opeens wel moet doen, moet ik KeePassX openen om m'n password op te zoeken. Op een vreemde locatie is dat genoeg om me wakker te schudden dat er iets niet in de haak is.

[Koffie]

BugBoy schreef op zondag 04 maart 2012 @ 16:43:
[...]

Aha, dat had ik niet gezien. Dat is inderdaad goed mogelijk. Vroeger gaf de browser volgens mij altijd een waarschuwing als je van HTTPS naar HTTP werd geredirect, maar blijkbaar gebeurt dat niet meer. Oppassen met inloggen dus als je vanaf een vreemde hotspot probeert in te loggen. Ik neem aan dat mobile apps, zoals Facebook, wel actief op HTTPS controleren. Anders ben je inderdaad wel een keer de Sjaak, want daar kun je niet zien wat het onderliggende protocol is.

Ongetwijfeld zal dat nog steeds zo zijn, ware het niet dat FB helemaal niet default over HTTPS gaat. Een normale aanvraag voor www.facebook.com zal dus ook gewoon over HTTP gaan, zonder redirects of foutmeldingen.

[gwystyl]

Standaard facebook browsen gaat inderdaad via HTTP, je moet via https://www.facebook.com/settings?tab=security instellen dat je (voor zover mogelijk) gebruik wil maken van https. Zelfs dan moet je dus nog zelf opletten of het deel waar je dan zit beveiligd is of niet.

[anandus]

Maar verder is dat toch geen probleem? Als ze proberen in te loggen met jouw login en wachtwoord dan moeten ze toch nog de securitycode invullen die naar je telefoon gesmst wordt?

Of staat dat default ook uit?

[darkmagic]

gwystyl schreef op maandag 05 maart 2012 @ 08:46:
Standaard facebook browsen gaat inderdaad via HTTP, je moet via https://www.facebook.com/settings?tab=security instellen dat je (voor zover mogelijk) gebruik wil maken van https. Zelfs dan moet je dus nog zelf opletten of het deel waar je dan zit beveiligd is of niet.

zelfs als je via een https verbinding inlogd kan nog steeds ongemerkt je wachtwoord gesnift worden.
want je merkt het niet.

je kan het vergelijken met een proxy servers wat eigenlijk hetzelfde doet.
als jij B.V. via een tor netwerk inlogd op facebook dan zie je toch ook geen veranderingen in de verbinding?
ze kunnen alles netjes doorsluizen zonder dat jij het ooit zal merken en toch kunnen ze de beveiligde verbinding kraken. dit duurt lang maar eenmaal klaar hebben ze je wachtwoord wel.

[ik222]

De beveiligde pakketten zien en doorsturen kan inderdaad ook via HTTPS. Echter om met die pakketten vervolgens iets te kunnen moet dan nog wel eerst de SSL/TLS encryptie worden gekraakt wat niet zo eenvoudig is

Zeker als je zo'n hotspot opzet om van meerdere mensen hun username / password te onderscheppen is het dan eenvoudiger om te werken met een fake certificaat of inderdaad gewoon redirecten naar een onbeveiligde of fake login pagina. Valt iets meer op maar 95% van de facebook gebruikers zal dit absoluut niet zien en gewoon rustig inloggen.

[Nivk]

The Lord schreef op maandag 05 maart 2012 @ 08:32:
Mogelijk wel. Maar dan moet je moeite doen om uit te zoeken op welke manier. Een hotpot is eenvoudig op te zetten met al gevolg dat een man in the middel attack ook eenvoudig kan worden opgezet.

Met de app FaceNiff hoef je niet zo lang te zoeken, maar ook alleen http inderdaad.