FACEBOOK/ E’ possibile rubare la password
IL RISCHIO che sconosciuti si impossessino del nostro profilo su FACEBOOK TWITTER o altri siti web è diventato realtà. Tutta colpa di Firesheep, il primo software che consente a tutti, anche utenti inesperti, tramite il semplice browser Firefox, di rubare le password di numerosi siti molto popolari.In termini tecnici, Firesheep è un’estensione gratuita di Firefox. Gli utenti possono installarla con un clic sul proprio browser, quindi, e cominciare la caccia di password altrui. Tutti sono potenziali vittime. Al pirata dotato di Firesheep basterà aspettare che accediamo a uno dei siti monitorati dall’estensione. Per esempio,FACEBOOK , TWITTER, Amazon, Google, Flickr e altri ancora che possono essere aggiunti dagli utenti. Su Firefox, nella barra dell’estensione, compare quindi l’account dell’utente spiato. Al pirata basterà cliccarci per entrare nel sito al posto suo.Su Facebook ci sono profili anche di aziende, del resto. Il funzionamento alla base di Firesheep in realtà è molto semplice. Il sito a cui ci connettiamo fa viaggiare le informazioni dell’account in “chiaro”, cioè non protette da crittografia, all’interno di un file (“cookie”). Gli utenti possono intercettare e leggere questo cookie. Il trucco non è una novità: i pirati sanno da tempo come intercettare i cookie, con i propri strumenti. I quali però finora sono stati alla portata solo di utenti con un po’ di esperienza informatica. La rivoluzione di Firesheep, e il motivo per cui ha gettato l’allarme sul web, è che rende il tutto alla portata di qualsiasi utente.
Firesheep per Firefox rende il furto d'identità semplice come rubare caramelle a un bambino. Basta installare quest'estensione e collegarsi a una rete Wi-Fi pubblica per sottrarre i dati degli altri utenti in modo indolore e senza che nessuno si accorga di nulla.
Lo sviluppatore, che si dice sorpreso del successo, ha creato questa estensione per esporre pubblicamente la scarsa sicurezza di numerosi siti Web, come Facebook, Twitter, Foursquare, ma anche banche e servizi più sensibili. Nella maggior parte dei casi questi servizi usano sicure (HTTPS/SSL) solo per la trasmissione dei dati d'accesso.
Una volta inseriti login e password però tutto il traffico è trasparente e facile da intercettare. Proprio quello che fa Firesheep: l'estensione analizza i dati in transito e ne estrae i cookie; ancora prima di usarli mostra a schermo immagine e nome dell'utente colpito. Una volta ottenuti questi piccoli file di testo si può entrare nei servizi citati con l'identità di un altro utente.
"[…] Su una rete Wi-Fi aperta i cookie sono sostanzialmente lanciati per aria, quindi è molto facile portare a compimento questo tipo di attacco", scrive Butler sul suo blog.
Come fa giustamente notare lo sviluppatore ha poco senso lavorare e sudare su nuove misure per proteggere la privacy, se poi si trascura un elemento come questo. L'unica soluzione è l'uso costante di connessioni sicure HTTPS o SSL da parte dei servizi web.
Resta il fatto che Firesheep permette a chiunque, esperto o no, di entrare in Facebook con l'account di un altro utente. Una situazione piuttosto pericolosa, e che forse spingerà questi servizi a cambiare approccio per quanto riguarda il tipo di connessione usata. In questo momento l'estensione è stata scaricata 250.000 volte circa, a meno di 48 ore dalla sua pubblicazione.
L'unica consolazione è che nella maggior parte dei casi Firesheep servirà a fare scherzi, magari di cattivo gusto ma innocui. Speriamo.
Firefox
Firesheep è stata creata da Eric Butler, che ne ha dato annuncio lunedì a una conferenza di sviluppatori. L'estensione permette di esaminare i dati in transito sulle reti pubbliche, per estrarne diversi dati personali. Lo sviluppatore, che si dice sorpreso del successo, ha creato questa estensione per esporre pubblicamente la scarsa sicurezza di numerosi siti Web, come Facebook, Twitter, Foursquare, ma anche banche e servizi più sensibili. Nella maggior parte dei casi questi servizi usano sicure (HTTPS/SSL) solo per la trasmissione dei dati d'accesso.
Una volta inseriti login e password però tutto il traffico è trasparente e facile da intercettare. Proprio quello che fa Firesheep: l'estensione analizza i dati in transito e ne estrae i cookie; ancora prima di usarli mostra a schermo immagine e nome dell'utente colpito. Una volta ottenuti questi piccoli file di testo si può entrare nei servizi citati con l'identità di un altro utente.
"[…] Su una rete Wi-Fi aperta i cookie sono sostanzialmente lanciati per aria, quindi è molto facile portare a compimento questo tipo di attacco", scrive Butler sul suo blog.
Come fa giustamente notare lo sviluppatore ha poco senso lavorare e sudare su nuove misure per proteggere la privacy, se poi si trascura un elemento come questo. L'unica soluzione è l'uso costante di connessioni sicure HTTPS o SSL da parte dei servizi web.
Resta il fatto che Firesheep permette a chiunque, esperto o no, di entrare in Facebook con l'account di un altro utente. Una situazione piuttosto pericolosa, e che forse spingerà questi servizi a cambiare approccio per quanto riguarda il tipo di connessione usata. In questo momento l'estensione è stata scaricata 250.000 volte circa, a meno di 48 ore dalla sua pubblicazione.
L'unica consolazione è che nella maggior parte dei casi Firesheep servirà a fare scherzi, magari di cattivo gusto ma innocui. Speriamo.
Nessun commento:
Posta un commento