Zachycování přihlašovacích údajů na FTP
Jestliže pro stahování, nahrávání či sdílení souborů stále používáte FTP (File Transfer Protocol – protokol pro přenášení souborů), neměli byste se k němu připojovat skrze nezabezpečené hotspoty. Většina FTP serverů využívá nešifrované připojení, takže se přihlašovací údaje k nim i jejich obsah odesílají v prostém textu, takže je případný slídil může jednoduše zachytit.
Z notebooku jsme se připojili k FTP serveru svého vlastního webového serveru. A byli jsme schopni zachytit pakety obsahující přihlašovací naše jméno a heslo – tedy detaily, které by jakémukoliv poblíž se pohybujícímu slídilovi umožnili získání neomezeného přístupu na naše stránky.
Krádeže účtů
Počítače nejsou jedinými zařízeními náchylnými ke krádežím informací. Spustili jsme si na svém druhém telefonu, rootovaném smartphonu s Androidem, aplikaci zvanou DroidSheep. Tato aplikace může být využita k získání přístupu na soukromé účty na populárních webových službách, jako jsou třeba Gmail, LinkedIn, Yahoo a Facebook.
DroidSheep hledá nezabezpečená přihlášení na tyto stránky a následně vytváří jejich seznamy. Přestože nezachycuje přímo hesla, dokáže zneužít zranitelnosti, která vám umožňuje otevřít daný web za pomoci aktuální instance jiného člověka, což vám poskytne úplný přístup na jeho účet.
Jak můžete vidět na snímku dole, detekoval DroidSheep přihlášení na Google, LinkedIn a Yahoo jiných lidí, kteří byli připojeni ke stejnému hotspotu, a také naše vlastní přihlášení na Facebook, které jsme provedli na druhém smartphonu.
Samozřejmě jsme nemohli legálně zneužít situace a připojit se na přihlašovací údaje ostatních, přihlásili jsme se však bez problémů na vlastní účet na Facebooku.
Poté jsme již na rootovaném Androidu mohli bez problémů procházet vlastním účtem, aniž bychom tomuto zařízení museli poskytnout přihlašovací jméno a heslo.
Jak bezpečně používat Wi-Fi hotspoty
Nyní, když jste viděli, jak jednoduché je pro někoho slídit prostřednictvím Wi-Fi ve vašem zařízení, nabízíme vám soubor pravidel, které vám i na veřejném hotspotu zajistí určitou úroveň bezpečnosti:
-
Kdykoliv se přihlašujete na nějaký web, ujistěte se, že je vaše připojení šifrováno. Adresa vy měla vždy začínat https namísto http.
-
Měli byste se také ujistit, že připojení zůstane šifrováno po celou dobu vaší online instance. Některé weby, jako třeba Facebook, sice připojení šifrují přímo při přihlašování, ale potom vás „hodí“ do nezabezpečené instance – čímž vás nechá napospas případnému „únosu“ účtu, o němž jsme psali výše.
-
Mnoho webů vám poskytuje možnost šifrování celé dané instance. Například na Facebooku to lze nastavit povolením zabezpečeného prohlížení v nastavení Zabezpečení.
-
Při kontrole svého e-mailu se snažte připojit pomocí webového prohlížeče a opět se ujistěte, že je připojení šifrováno (znovu hledejte https na začátku URL adresy). Jestliže používáte e-mailového klienta, například Outlook, zkontrolujte, zda jsou vaše účty POP3 nebo IMAP a SMTP mají nakonfigurováno zapnuté šifrování.
-
Nikdy nepoužívejte FTP nebo jiné nativně nešifrované služby.
-
Pro šifrování svého surfování na webu a další online aktivity používejte VPN, tedy virtuální privátní síť (tento článek vám ukáže, jak na to).
-
Uvědomte si, že podobné zranitelnosti mají i soukromé sítě. Kdokoliv nacházející se poblíž může slídit na vaší síti. Aktivace šifrování WPA nebo WPA2 zabezpečí provoz na Wi-Fi a před případným slídilem zamlží reálnou komunikaci, nicméně každý, kdo získá vaše heslo, bude opět schopen zachycovat pakety, které přes danou síť cestují. Tato rada je určena zejména pro malé firmy, které nepoužívají podnikový režim WPA nebo WPA2 zabezpečení (802.1X), jenž zamezuje vzájemnému špehování uživatelů).
Zdroj: IDG News Service
PŘEDPLATNÉ
ČLÁNKY DO MAILU