Уязвимости беспроводной точки доступа на BBC Watchdog

Question

Прошлой ночью я смотрел программу на BBC, в которой подчеркивался риск использования любой публичной беспроводной точки доступа.

http://www.guardian.co.uk/technology/2009/oct/29/wifi-watchdog-hotspot-security-vulnerable

У них были примеры кражи чьего-то сеанса Gmail и получения имен пользователей и паролей по электронной почте. Я предполагаю, что они говорят о злоумышленнике, сидящем в беспроводной зоне и использующем анализатор пакетов для отслеживания незашифрованного трафика, а некоторые имена пользователей и пароли электронной почты и веб-трафик передаются в незашифрованном виде. То, как они говорили, было так, как будто они могли также захватить сессию кого-то, я полагаю, прочитав передаваемые файлы cookie, а затем используя их, чтобы перейти на свою сессию.

Тем не менее, я был очень смущен этим, поскольку большинство важных сайтов используют SSL, а gmail определенно работает по HTTPS. Поэтому весь трафик между браузером и веб-сервером (включая все, что транслируется по локальной сети общего пользования) будет зашифрован и нечитаемым.

Правильно ли я считаю, что вы подвержены только риску, если используете что-то, что не использует HTTPS и SSL? Если это так, и кажется вероятным, что это так, то эти вещи довольно очевидны, и программа, вероятно, была нацелена на людей, не очень разбирающихся в технологиях, чем я.

Мне было бы очень интересно, как они попали в чей-то Gmail, насколько я понимаю, что это абсолютно безопасно!

Ура,

Майк

Answer 1

Я наполовину слушал Watchdog прошлой ночью, не могу сказать, что видел что-то, что могло бы предположить, что они попробовали следующее, но это могло быть возможно:

Кто-то может сидеть в HotSpot с оборудованием для создания "поддельной" беспроводной точки доступа в рюкзаке (читая блог Скотта Хансельмана, вы можете подумать, что вам может понадобиться только правильно настроенный ноутбук с Windows 7), эту беспроводную точку доступа можно использовать для выполнения Атака "Человек посередине" представляет поддельную версию G-Mail или любого другого сервиса. Это должно быть предотвращено SSL, однако, если пользователь не учел предупреждения или использовал более старый браузер, который использовал запутанную терминологию, они могут не заметить, что Сертификат был недействительным.

Answer 2

SSL Gmail можно отключить. Это имеет свои преимущества и недостатки. Безопасность является главной заботой.

Кроме того, SSL не является непогрешимым. Пока он достаточно безопасен, но больше не является нерушимой крепостью шифрования, какой когда-то казалось.

Answer 3

Многие люди используют один и тот же пароль для нескольких учетных записей / сайтов. Возьмите тот, который идет через незашифрованный и попробуйте его в качестве пароля для зашифрованного сайта. Коэффициенты довольно высоки, это правильный.