http://www.ynet.co.il/articles/0,7340,L-3986265,00.html

לי זה חידש.

session fixation & cookie sniffing is so 2004

והקשר של השטיות האלו לIT הוא?

איפה השם משתמש וסיסמא נשמרים ברשת ציבורית?

ואיך אפשר לזהות אם בטוח להתחבר לאתר מסויים ברשת ציבורית?

הם כל הזמן מדברים על WIFI וכזה, אבל לא הבנתי האם זה לא יכול לקרות גם ברשת קווית?

הכוונה לרשת אירגונית כמובן.

והקשר של השטיות האלו לIT הוא?

זה הפורום שמצאתי אותו הכי רלוונטי לאבטחת מידע.

הם כל הזמן מדברים על WIFI וכזה, אבל לא הבנתי האם זה לא יכול לקרות גם ברשת קווית?

הכוונה לרשת אירגונית כמובן.

זה לא משנה WIFI או קווית

ברגע שאתה מחובר לאינטרנט עם עוד משתמשים אפשר להשתמש בתוכנה

^^

זה לא נשמע לי הגיוני.

ברשת קווית הנתב שולח לכל מחשב את ה-Packets שמיועדים אליו בלבד, והוא לא שולח את ה-Packets של כולם לכולם (אאל"ט).

לכן, בניגוד לרשת אלחוטית, אין אפשרות לבצע Sniffing ו"לגנוב" Packets שיועדו למחשב אחר.

silky, הכתבה הזאת רחוקה מלהיות קשורה איכשהו לאבטחת מידע ובטח לא בצורה שהיא כתוב.

אני כמובן לא מנסה להאשים את Ynet שמכוון למכנה המשותף הכי נמוך. בפורום מחשבים לפחות אפשר היה להתייחס למשהו הרבה יותר מדוייק ומפורט טכנית.

איפה השם משתמש וסיסמא נשמרים ברשת ציבורית?

ואיך אפשר לזהות אם בטוח להתחבר לאתר מסויים ברשת ציבורית?

הם לא גונבים שם ומשתמש וסיסמה, הם עושים התקפת Session hijacking/Session fixation בעיקר בעזרת גניבת קוקיז..

^^

זה לא נשמע לי הגיוני.

ברשת קווית הנתב שולח לכל מחשב את ה-Packets שמיועדים אליו בלבד, והוא לא שולח את ה-Packets של כולם לכולם (אאל"ט).

לכן, בניגוד לרשת אלחוטית, אין אפשרות לבצע Sniffing ו"לגנוב" Packets שיועדו למחשב אחר.

לאו דווקא נכון, אם אתה ברשת ארגונית עם סוויצ'ים המצב שונה.

אלא אם מוגדרים Vlanים בסוויצ' כל הרשת הפנימית תראה את המנה מכיוון שכשאתה שולח לכתובת חיצונית אתה לא יודע לאיזה mac address לשלוח את המידע ולכן אתה שולח ל-FF:FF:FF:FF:FF:FF (ברודקסט). ומכיוון שסוויצ'ים עובדים ברמה השניה הם יעשו ברודקסט לכל המחשבים שמחוברים אליהם. (משם כבר הראוטר יזהה שזה שלו וינתב לפי הרמה השלישית-IP)

ברשת ביתית אתה צודק, אם זו רשת קווית אף אחד לא יראה את הפקטה.

איפה השם משתמש וסיסמא נשמרים ברשת ציבורית?

ואיך אפשר לזהות אם בטוח להתחבר לאתר מסויים ברשת ציבורית?

ברגע שאתה מתחבר לשרת HTTP אתה עובד עם עוגיות, ברגע שהתחברת אתה מקבל ושולח עוגיה זמנית(או לא זמנית אם הגדרת שישמור את הנתונים שלך) שבתוכה יש את המזהה היחודי שלך שמאפשר לשרת לזהות אותך. ברגע שלמישהו יש את העוגיה או את המזהה היחודי והוא מפברק עוגיה הוא יכול להתחבר אל המשתמש שלך.

אל תתחבר לאתרים כאלו ברשתות לא מאובטחות (גם WEP זו לא רשת מאובטחת), ובכלליות אם אתה יכול תעדיף לעבוד דרך VPNים אם אתה גולש ברשתות לא מאובטחות.

ותבדוק אם האתר שאתה גולש אליו תומך בHTTPS, ואם כן תגלוש דרך HTTPS אליו

בהתקפה כזאת המקסימום שהם יכולים לעשות זה להתחזות אליך, ולחטט לך בפרופיל. הם לא יכולים לשנות או לגלות את הסיסמא שלך.

כמו כן אפשר לבצע logout מרוחק בפייסבוק, דבר שיהרוג כל login קיים לחשבון הפייסבוק שלך מרחוק דרך

Account Settings -> Account Security

ותבדוק אם האתר שאתה גולש אליו תומך בHTTPS, ואם כן תגלוש דרך HTTPS אליו

HTTPS לא יעזור, על WIFI אפשר לעשות MIM לSSL בקלות...

בכל למעלה מ85% מהאתרים היום פתוחים לSession Hijackברמה כזאת או אחרת, גם ללא שום WIFI שולחים למישהו לינק שנוצר, הוא פותח אותו מתחבר לFacebook באין אם הלינק עצמו מכיל XSS שמעביר את הקוקיז אל התוקף, או האתר תומך בSession Auth מה שאומר שאתה צריך לייצר "Session" ולשלוח אותו למטרה לאימות, לאחר מכן כל מה שצריך זה ריפרש ואתה בפנים. כן כן גם Facebook, ואפילו Paypal ורוב אתרי הבנקים פרוצים לזה.

בכל מקרה יש דאמפ של מעלה ל100 מיליון ססמאות של משתמשי פייסבוק שהתגלו בפרצת האבטחה של מרץ(המפגרים לא רק ששמרו ססמאות בצד כSaltless MD5 אפשר היה גם לקבל את ההאש בשאילתה מול ה-DB שלהם) הכלי המפגר הזה שהיו עוד מאות לפניות ויהיו עוד מאות אחריו(ומי שיודע לעבוד עם Wiresharck לא ממש צריך אותו).

אם כבר כיף, זה להריץ "AP" בבתי קפה בת"א על הנטבוק עם ParosProxy(או כל פרוקסי אחר) ולהוציא באמת את כל המידע של המשתמשים המפגרים... גם ססמאות מלאות, וגם עוד הרבה דברים נחמדים...

לאו דווקא נכון, אם אתה ברשת ארגונית עם סוויצ'ים המצב שונה.

אלא אם מוגדרים Vlanים בסוויצ' כל הרשת הפנימית תראה את המנה מכיוון שכשאתה שולח לכתובת חיצונית אתה לא יודע לאיזה mac address לשלוח את המידע ולכן אתה שולח ל-FF:FF:FF:FF:FF:FF (ברודקסט). ומכיוון שסוויצ'ים עובדים ברמה השניה הם יעשו ברודקסט לכל המחשבים שמחוברים אליהם. (משם כבר הראוטר יזהה שזה שלו וינתב לפי הרמה השלישית-IP)

ברשת ביתית אתה צודק, אם זו רשת קווית אף אחד לא יראה את הפקטה.

ברגע שאתה מתחבר לשרת HTTP אתה עובד עם עוגיות, ברגע שהתחברת אתה מקבל ושולח עוגיה זמנית(או לא זמנית אם הגדרת שישמור את הנתונים שלך) שבתוכה יש את המזהה היחודי שלך שמאפשר לשרת לזהות אותך. ברגע שלמישהו יש את העוגיה או את המזהה היחודי והוא מפברק עוגיה הוא יכול להתחבר אל המשתמש שלך.

אל תתחבר לאתרים כאלו ברשתות לא מאובטחות (גם WEP זו לא רשת מאובטחת), ובכלליות אם אתה יכול תעדיף לעבוד דרך VPNים אם אתה גולש ברשתות לא מאובטחות.

כל מה שאמרת כאן איינו נכון בעליל, VLAN לא יעזור לך, ברגע שאתה מחובר לרשת ויש לך את המפתח אתה יכול לראות את כל התעבורה, העניין הוא שבצדק שהם דורשים שמעבר ל-Preshared Key כולל לתשתית, יהיה מפתח משותף פרטי לכל קליינט, כרגע כל מה שאתה צריך לעשות בשביל לפתוח את התעבורה של כל קליינט שמתחבר לכל רשת אלחוטית כולל WPA2 זה לדעת את הPreshared Key ואת הTime Offset של הקליינט(שאותו אחרי שאתה מחובר לרשת אפשר לתשאל) אם מדובר על AES, או הPreshared Key וזהו כאשר מדובר על 3DES/DES...

אני דיברתי על רשת קווית, מן הסתם בWIFI אפשר לראות את כל התעבורה אם יש בידך את המפתח.