reklama

Ukradli jsme účet k Facebooku. S Androidem za pět sekund

Co potřebuje hacker k proniknutí na cizí účet Facebooku? Ani milion dolarů, ani speciální techniku, ani extrémní znalosti. Stačí Android s rootem, Wi-Fi síť a pět sekund. Uvnitř video.

Program Wireshark (dříve Ethereal) zná každý správce sítě a „reverzní inženýr“, který se pokouší zjistit, jak fungují různé aplikace komunikující skrze web. Wireshark analyzuje kompletní komunikaci na vybrané síťové kartě, takže se můžete podívat, co se bude dít, když se třeba začne synchronizovat soubor na úložiště Dropbox nebo když začnete odesílat e-mail.

Šifrovaná komunikace SSL (HTTPS) je pro Wireshark neviditelná, respektive uvidíte jen změť šifrovaných znaků, pokud se ale přihlásíte třeba na nějaký nešifrovaný webový e-mail, ve Wiresharku snadno dohledáte čitelné přihlašovací jméno a heslo. O důvod více používat SSL v takové míře, jak je to jen možné.

Klepněte pro větší obrázek
Pokud se naučíte ovládat Wireshark a máte přehled o síťových protokolech,
dozvíte se z něho téměř vše. Pro běžného smrtelníka ale není

Do kategorie snifferů a paketových analyzátorů patří také doplněk pro Firefox Firesheep, aplikace SSLSniff a nakonec i androidí program FaceNiff. Dnes o něm bude řeč, je totiž neskutečně zákeřný a přitom tak jednoduchý…

FaceNiff

FaceNiff je paketový analyzátor pro operační systém Android s administrátorskými právy. K jeho chodu tedy budete potřebovat takzvaný root telefonu, což naštěstí většinu z vás odradí. Při rostoucí popularitě CyanogenModu a dalších neoficiálních rootnutých ROM je to ale vlastně také jen kosmetika.

FaceNiff se oproti Wiresharku liší v tom, že jej dokáže ovládat naprosto každý, jedná se totiž o jednoúčelnou aplikaci. Analyzuje komunikaci v síti a hledá ty datové pakety, které tečou na servery Facebooku. Díky tomu aplikace vypíše seznam lidí, kteří ve vaší síti právě komunikují na této sociální síti. Tím to ale nekončí, odhalí totiž i jejich session ID – jedinečný identifikátor spojení, pomocí kterého vám umožní přístup do jejich profilu. Jak je to možné? To se dozvíte v dalším odstavci.

Klepněte pro větší obrázek  Klepněte pro větší obrázek  Klepněte pro větší obrázek  Klepněte pro větší obrázek
Start aplikace FaceNiff je až trestuhodně jednoduchý, v podstatě stačí dva kliky

Dropbox, Google, Facebook… Všude je to stejné

Přihlašování do většiny webových služeb funguje na principu session – jedinečného identifikátoru, který prohlížeč získá v momentě úspěšného přihlášení. Ten si pak prohlížeč drží po celou dobu spojení, často v paměti cookies. Kdykoliv pak od služby něco potřebuje, třeba skrze ajax kontroluje, jestli vám nedošel nový e-mail, serveru v dotazu pošle i tento identifikátor, aby druhá strana věděla, kdo jsme. Díky tomu se při každém obnovení stránky – při každém dotazu nemusíme opět složitě přihlašovat.

Problém nastane tehdy, kdy se tento identifikátor odesílá nešifrovaně – což je stále nejčastější, jelikož služeb, které nabízejí SSL, zase není tolik. Pokud by v takovém okamžiku použil útočník některý z výše jmenovaných programů, celkem snadno by tento identifikátor zjistil a mohl by ho zneužít.

Na podobném principu zabezpečeného přihlašování, ale už ne identifikátoru lze prolamovat:

Facebook se ve výchozím stavu chrání jen napůl. Žádný nechtěný posluchač nezjistí vaše přihlašovací jméno a heslo, protože při autentizaci se vždy používá SSL. Nicméně poté už komunikujete skrze běžný HTTP protokol a všechny informace jsou pro záškodníka čitelné.

Ovládněte cizí Facebook na dva kliky

Je to pravda? Nedalo mi to a nainstaloval jsem si FaceNiff na svůj Android. Namísto oficiální ROM používám CyanogenMod 7 s rootem, takže to bylo velmi snadné. Stačilo se skrze Wi-Fi připojit do firemní sítě a spustit program. Ten začne okamžitě skenovat komunikaci v síti, a pokud odhalí datové pakety s identifikátorem spojení na Facebook, vypíše napadnutelné kontakty.

Klepněte pro větší obrázek  Klepněte pro větší obrázek  Klepněte pro větší obrázek  Klepněte pro větší obrázek
Seznam nalezených facebookových kontaktů v lokální síti. Pokud na některý z nich klepnu, dostanu se na profil s odcizeným identifikátorem a získávám k němu stejná práva jako jeho skutečný majitel. Jana je grafička Computeru, která sedí v sousední kanceláře, tak jsem si z ní trošku vystřelil.

Pak už pouze stačí klepnout na ikonu nešťastníka a v prohlížeči se otevře stránka s Facebookem a podvrženým identifikátorem. Ačkoliv tedy neznáte heslo facebookového účtu, získáte absolutní moc nad jeho profilem. Můžete pod jeho jménem psát zprávičky, prohlížet fotky, případně rovnou vše smazat. Facebook si jednoduše díky ukradnutému identifikátoru myslí, že jste někdo úplně jiný. Rovnou vás ale varuji, že takovým jednáním docela hrubě porušíte zákon.

Klepněte pro větší obrázek
Tuto zprávičku Jana vážně nenapsala...

Díky masovému používání velmi snadné

Můžete namítnout, že jako útočník mohu čekat celé hodiny, než někdo v síti použije Facebook a vyšle paket s identifikátorem, ve skutečnosti to ale bude trvat jen pár sekund. Facebook načtený v prohlížeči totiž díky ajaxu neustále něco posílá na svůj server, komunikuje na pozadí prohlížeče, takže nějaký ten identifikátor ve větší síti objevíte skutečně velmi rychle.

Mnohem větší nebezpečí ale čeká na osazenstvo nějaké letní zahrádky u restaurace. Každá druhá dnes totiž nabízí Wi-Fi připojení a ve větších městech máte v podstatě téměř jistotu, že bude poblíž někdo komunikovat na Facebooku. U mobilních aplikací by neměl být problém – ty by měly používat SSL v každém případě, ale ty ostatní zjistíte.

Jak jsem ukradl Facebook svého nadřízeného (video)

 

Jak se proti tomu bránit?

Obrana je relativně snadná: komunikujte na Facebooku vždy a výhradně skrze SSL šifrování. Jak to nastavit? Přihlaste se na Facebook, nahoře v liště klepněte na Účet, v menu pak na Nastavení účtu a v dialogu pak najděte volbu Zabezpečení účtu. Tady nakonec zaškrtněte možnost Procházet Facebook pomocí zabezpečeného připojení (HTTPS), kdykoliv je to možné. Odhlaste se, případně smažte cookies, přihlaste se a už byste měli být neviditelní. I když kdo ví, jaká potenciální dvířka pro záškodníky ještě nechal Facebook pootevřené.

Klepněte pro větší obrázek
Přinuťte Facebook komunikovat pomocí SSL

Podobných nástrojů najdete na webu celou hromadu, princip útoku je totiž starý jako web samotný. FaceNiff se orientuje ryze na Facebook, nicméně podobným způsobem odhalíte v obecných snifferech sessiony prakticky ke všem službám, které fungují na podobném principu. U služeb, které k přihlašování nepoužívají SSL, pak hrozí i poměrně velmi snadné zjištění vašeho hesla a v takovém případě vám ani v nejmenším nepomůže to, že jste si vybrali superodolné heslo, které by měli hackeři zdolávat 250 000 000 000 let.

Internet ani zdaleka není tak bezpečný a anonymní, jak si občas naivně myslíme.


Tento článek není návodem k páchání trestné činnosti, pouze jsem na něm ukázal, jak zranitelné jsou každodenní webové služby bez použití SSL. Program nehledejte na Android Marketu a případně očekávejte další komplikace, ty zde ale vysvětlovat nebudu. Aplikace je zároveň placená. V režimu freeware vám odhalí pouze první tři účty.

Témata článku: Web, Sociální sítě, Bezpečnost, Facebook, FaceNiff, Cyanogenmod

85 komentářů

Nejnovější komentáře

  • Dominik Dostál 17. 1. 2012 20:08:43
    Ja to nechapu muzete mi to nekdo vysvetlit? co potrebuju za program nebo...
  • Net.Xtreme 10. 6. 2011 7:16:41
    Facebook nepoužívám, ale podobný útok lze nejspíš použít na více služeb,...
  • Barte 9. 6. 2011 22:33:33
    Ahoj, exisuje nějaký sniffer na Symbian?
reklama
Určitě si přečtěte

UPC překopli páteřní kabel. V Brně i druhý den nejede internet ani kabelovka

UPC překopli páteřní kabel. V Brně i druhý den nejede internet ani kabelovka

** V Brně byl velký výpadek služeb UPC ** Důvodem je překopnutý páteřní kabel ** V některých lokalitách služby stále nefungují

5.  12.  2016 | Jakub Čížek | 104

17 expertek Microsoftu předpovědělo rok 2027. Splní se alespoň něco?

17 expertek Microsoftu předpovědělo rok 2027. Splní se alespoň něco?

** Zmizí klasické vyhledávače ** Budeme programovat buňky ** Kvantové počítače překonají šifry

6.  12.  2016 | Jakub Čížek | 36

11 tipů na dobrý stolní počítač: od základu po herní mašiny

11 tipů na dobrý stolní počítač: od základu po herní mašiny

** Postavte si stolní počítač! Máme pro vás 11 vzorových sestav s rozpisem komponent ** Většina tipů cílí na hráče, věnujeme se ale i základnímu PC a počítačům na střih videa ** Nadělte si nový počítač třeba pod stromeček

5.  12.  2016 | Adam Kahánek | 74

Nejlepší notebooky nad 20 tisíc: poradíme, které teď chcete

Nejlepší notebooky nad 20 tisíc: poradíme, které teď chcete

** V notebooku s cenou nad 20 tisíc nesmí chybět kvalitní displej a rychlé úložiště ** Za dalších deset tisíc můžete dostat navíc styl nebo výkonnější komponenty ** Vybírat můžete z různých velikostí i konstrukcí

8.  12.  2016 | Stanislav Janů | 87


reklama