Ukradli jsme účet k Facebooku. S Androidem za 5 s

Program Wireshark (dříve Ethereal) zná každý správce sítě a „reverzní inženýr“, který se pokouší zjistit, jak fungují různé aplikace komunikující skrze web. Wireshark analyzuje kompletní komunikaci na vybrané síťové kartě, takže se můžete podívat, co se bude dít, když se třeba začne synchronizovat soubor na úložiště Dropbox nebo když začnete odesílat e-mail.

Šifrovaná komunikace SSL (HTTPS) je pro Wireshark neviditelná, respektive uvidíte jen změť šifrovaných znaků, pokud se ale přihlásíte třeba na nějaký nešifrovaný webový e-mail, ve Wiresharku snadno dohledáte čitelné přihlašovací jméno a heslo. O důvod více používat SSL v takové míře, jak je to jen možné.

Pokud se naučíte ovládat Wireshark a máte přehled o síťových protokolech,
dozvíte se z něho téměř vše. Pro běžného smrtelníka ale není

Do kategorie snifferů a paketových analyzátorů patří také doplněk pro Firefox Firesheep, aplikace SSLSniff a nakonec i androidí program FaceNiff. Dnes o něm bude řeč, je totiž neskutečně zákeřný a přitom tak jednoduchý…

FaceNiff

FaceNiff je paketový analyzátor pro operační systém Android s administrátorskými právy. K jeho chodu tedy budete potřebovat takzvaný root telefonu, což naštěstí většinu z vás odradí. Při rostoucí popularitě CyanogenModu a dalších neoficiálních rootnutých ROM je to ale vlastně také jen kosmetika.

FaceNiff se oproti Wiresharku liší v tom, že jej dokáže ovládat naprosto každý, jedná se totiž o jednoúčelnou aplikaci. Analyzuje komunikaci v síti a hledá ty datové pakety, které tečou na servery Facebooku. Díky tomu aplikace vypíše seznam lidí, kteří ve vaší síti právě komunikují na této sociální síti. Tím to ale nekončí, odhalí totiž i jejich session ID – jedinečný identifikátor spojení, pomocí kterého vám umožní přístup do jejich profilu. Jak je to možné? To se dozvíte v dalším odstavci.

 
Start aplikace FaceNiff je až trestuhodně jednoduchý, v podstatě stačí dva kliky

Dropbox, Google, Facebook… Všude je to stejné

Přihlašování do většiny webových služeb funguje na principu session – jedinečného identifikátoru, který prohlížeč získá v momentě úspěšného přihlášení. Ten si pak prohlížeč drží po celou dobu spojení, často v paměti cookies. Kdykoliv pak od služby něco potřebuje, třeba skrze ajax kontroluje, jestli vám nedošel nový e-mail, serveru v dotazu pošle i tento identifikátor, aby druhá strana věděla, kdo jsme. Díky tomu se při každém obnovení stránky – při každém dotazu nemusíme opět složitě přihlašovat.

Problém nastane tehdy, kdy se tento identifikátor odesílá nešifrovaně – což je stále nejčastější, jelikož služeb, které nabízejí SSL, zase není tolik. Pokud by v takovém okamžiku použil útočník některý z výše jmenovaných programů, celkem snadno by tento identifikátor zjistil a mohl by ho zneužít.

Na podobném principu zabezpečeného přihlašování, ale už ne identifikátoru lze prolamovat:

• Dropbox – psali jsme na Živě.cz
• pravděpodobně některé služby Googlu z mobilu – psali jsme na Živě.cz
• hromadu webových služeb, webmailů aj.

Facebook se ve výchozím stavu chrání jen napůl. Žádný nechtěný posluchač nezjistí vaše přihlašovací jméno a heslo, protože při autentizaci se vždy používá SSL. Nicméně poté už komunikujete skrze běžný HTTP protokol a všechny informace jsou pro záškodníka čitelné.

Ovládněte cizí Facebook na dva kliky

Je to pravda? Nedalo mi to a nainstaloval jsem si FaceNiff na svůj Android. Namísto oficiální ROM používám CyanogenMod 7 s rootem, takže to bylo velmi snadné. Stačilo se skrze Wi-Fi připojit do firemní sítě a spustit program. Ten začne okamžitě skenovat komunikaci v síti, a pokud odhalí datové pakety s identifikátorem spojení na Facebook, vypíše napadnutelné kontakty.

    
Seznam nalezených facebookových kontaktů v lokální síti. Pokud na některý z nich klepnu, dostanu se na profil s odcizeným identifikátorem a získávám k němu stejná práva jako jeho skutečný majitel. Jana je grafička Computeru, která sedí v sousední kanceláře, tak jsem si z ní trošku vystřelil.

Pak už pouze stačí klepnout na ikonu nešťastníka a v prohlížeči se otevře stránka s Facebookem a podvrženým identifikátorem. Ačkoliv tedy neznáte heslo facebookového účtu, získáte absolutní moc nad jeho profilem. Můžete pod jeho jménem psát zprávičky, prohlížet fotky, případně rovnou vše smazat. Facebook si jednoduše díky ukradnutému identifikátoru myslí, že jste někdo úplně jiný. Rovnou vás ale varuji, že takovým jednáním docela hrubě porušíte zákon.

Tuto zprávičku Jana vážně nenapsala...

Díky masovému používání velmi snadné

Můžete namítnout, že jako útočník mohu čekat celé hodiny, než někdo v síti použije Facebook a vyšle paket s identifikátorem, ve skutečnosti to ale bude trvat jen pár sekund. Facebook načtený v prohlížeči totiž díky ajaxu neustále něco posílá na svůj server, komunikuje na pozadí prohlížeče, takže nějaký ten identifikátor ve větší síti objevíte skutečně velmi rychle.

Mnohem větší nebezpečí ale čeká na osazenstvo nějaké letní zahrádky u restaurace. Každá druhá dnes totiž nabízí Wi-Fi připojení a ve větších městech máte v podstatě téměř jistotu, že bude poblíž někdo komunikovat na Facebooku. U mobilních aplikací by neměl být problém – ty by měly používat SSL v každém případě, ale ty ostatní zjistíte.

Jak jsem ukradl Facebook svého nadřízeného (video)

Zvětšit video

Jak se proti tomu bránit?

Obrana je relativně snadná: komunikujte na Facebooku vždy a výhradně skrze SSL šifrování. Jak to nastavit? Přihlaste se na Facebook, nahoře v liště klepněte na Účet, v menu pak na Nastavení účtu a v dialogu pak najděte volbu Zabezpečení účtu. Tady nakonec zaškrtněte možnost Procházet Facebook pomocí zabezpečeného připojení (HTTPS), kdykoliv je to možné. Odhlaste se, případně smažte cookies, přihlaste se a už byste měli být neviditelní. I když kdo ví, jaká potenciální dvířka pro záškodníky ještě nechal Facebook pootevřené.

Přinuťte Facebook komunikovat pomocí SSL

Podobných nástrojů najdete na webu celou hromadu, princip útoku je totiž starý jako web samotný. FaceNiff se orientuje ryze na Facebook, nicméně podobným způsobem odhalíte v obecných snifferech sessiony prakticky ke všem službám, které fungují na podobném principu. U služeb, které k přihlašování nepoužívají SSL, pak hrozí i poměrně velmi snadné zjištění vašeho hesla a v takovém případě vám ani v nejmenším nepomůže to, že jste si vybrali superodolné heslo, které by měli hackeři zdolávat 250 000 000 000 let.

Internet ani zdaleka není tak bezpečný a anonymní, jak si občas naivně myslíme.

Tento článek není návodem k páchání trestné činnosti, pouze jsem na něm ukázal, jak zranitelné jsou každodenní webové služby bez použití SSL. Program nehledejte na Android Marketu a případně očekávejte další komplikace, ty zde ale vysvětlovat nebudu. Aplikace je zároveň placená. V režimu freeware vám odhalí pouze první tři účty.