Tietoturva nyt!

26.10.2010

Tietoliikenteen salaamisesta tuli yhä tärkeämpää

Firefox-selaimeen julkaistu Firesheep-lisäosa tekee www-palvelujen istuntojen kaappaamisen helpoksi, jos liikennettä ei ole salattu HTTPS-protokollalla ja käytössä on avoin, salaamaton WLAN-verkko.

Firesheep kaappaa yhteyksiä evästeiden avulla

Avointen langattomien verkkojen riskit ovat tunnettuja. Jos WLAN-verkkoon kirjautuminen ei vaadi verkon nimen lisäksi salasanaa, voivat liikennettä salakuunnella kaikki verkon kuuluvuusalueella olevat. Jos palvelun tietoliikennettä ei salata esimerkiksi HTTPS-protokollan avulla, voi istunnon kaapata helposti Firefox-selaimeen julkaistun Firesheep-lisäosan avulla.

Firesheep tarkkailee avoimen WLAN-yhteyden kautta liikkuvaa HTTP-liikennettä ja poimii siitä käyttäjän selaimelle lähetettävän yhteyskohtaisen evästeen, jonka avulla www-palvelu tunnistaa käyttäjän istunnon. Firesheep näyttää selaimessa kuulemansa yhteydet ja tarjoaa mahdollisuuden niiden kaappaamiseen siten, että sivullinen voi esiintyä yhteyden haltijana www-palvelussa.

Firesheep tunnistaa muiden muassa Facebook-, Twitter-, Google-, Amazon-, Dropbox-, Evernote-, Wordpress-, Flicker-, ja bit.ly -palvelujen istunnot. Istunnon voi kaapata, vaikka kirjautumisessa käytettäisiinkin salattua HTTPS-protokollaa käyttäjätunnuksen ja salasanan välittämiseen, ellei muitakin osia palvelusta ole salattu.

Liikenteen salaaminen parantaa turvallisuutta

Käyttäjä on suojassa yhteyksien kaappaamiselta, jos koko www-sivustolla käytetään HTTPS-yhteyttä. Yhteyden salakuuntelemisen voi estää myös käyttämällä WLAN-verkossa vähintään WPA2-salausta. Varsinkin yrityskäyttäjät voivat usein käyttää salattua VPN-yhteyttä, joka estää salakuuntelun myös avoimissa WLAN-verkoissa.

Firefox-selaimelle on julkaistu myös HTTPS Everywhere- ja ForceTLS-nimiset lisäosat, jotka pyrkivät varmistamaan, että selain käyttää aina salattua HTTPS-yhteyttä.

Avainasemassa ovat palvelujen tarjoajat

Firesheepin tekijöiden tarkoituksena on painostaa palvelujen ylläpitäjiä mahdollistamaan palvelujen käyttämisen puhtaasti HTTPS-yhteyksillä. Lisäksi avainasemassa ovat langattomien verkkojen ylläpitäjät. Käyttäjän mahdollisuudet vaikuttaa yhteyden salaamistasoon ovat usein varsin rajalliset.

Lisätietoa

Sivua päivitetty 26.10.2010

Tulostusversio

CERT-FI