Ukradli jsme účet k Facebooku. S Androidem za 5 s

Co potřebuje hacker k proniknutí na cizí účet na Facebooku? Milion dolarů? Speciální techniku? Extrémní znalosti? Stačí Android s rootem, Wi-Fi a pět sekund.

Program Wireshark (dříve Ethereal) zná každý správce sítě a „reverzní inženýr“, který se pokouší zjistit, jak fungují různé aplikace komunikující skrze web. Wireshark analyzuje kompletní komunikaci na vybrané síťové kartě, takže se můžete podívat, co se bude dít, když se třeba začne synchronizovat soubor na úložiště Dropbox nebo když začnete odesílat e-mail.

Šifrovaná komunikace SSL (HTTPS) je pro Wireshark neviditelná, respektive uvidíte jen změť šifrovaných znaků, pokud se ale přihlásíte třeba na nějaký nešifrovaný webový e-mail, ve Wiresharku snadno dohledáte čitelné přihlašovací jméno a heslo. O důvod více používat SSL v takové míře, jak je to jen možné.

Klepněte pro větší obrázek
Pokud se naučíte ovládat Wireshark a máte přehled o síťových protokolech,
dozvíte se z něho téměř vše. Pro běžného smrtelníka ale není

Do kategorie snifferů a paketových analyzátorů patří také doplněk pro Firefox Firesheep, aplikace SSLSniff a nakonec i androidí program FaceNiff. Dnes o něm bude řeč, je totiž neskutečně zákeřný a přitom tak jednoduchý…

FaceNiff

FaceNiff je paketový analyzátor pro operační systém Android s administrátorskými právy. K jeho chodu tedy budete potřebovat takzvaný root telefonu, což naštěstí většinu z vás odradí. Při rostoucí popularitě CyanogenModu a dalších neoficiálních rootnutých ROM je to ale vlastně také jen kosmetika.

FaceNiff se oproti Wiresharku liší v tom, že jej dokáže ovládat naprosto každý, jedná se totiž o jednoúčelnou aplikaci. Analyzuje komunikaci v síti a hledá ty datové pakety, které tečou na servery Facebooku. Díky tomu aplikace vypíše seznam lidí, kteří ve vaší síti právě komunikují na této sociální síti. Tím to ale nekončí, odhalí totiž i jejich session ID – jedinečný identifikátor spojení, pomocí kterého vám umožní přístup do jejich profilu. Jak je to možné? To se dozvíte v dalším odstavci.

Klepněte pro větší obrázek Klepněte pro větší obrázek Klepněte pro větší obrázek Klepněte pro větší obrázek
Start aplikace FaceNiff je až trestuhodně jednoduchý, v podstatě stačí dva kliky

Dropbox, Google, Facebook… Všude je to stejné

Přihlašování do většiny webových služeb funguje na principu session – jedinečného identifikátoru, který prohlížeč získá v momentě úspěšného přihlášení. Ten si pak prohlížeč drží po celou dobu spojení, často v paměti cookies. Kdykoliv pak od služby něco potřebuje, třeba skrze ajax kontroluje, jestli vám nedošel nový e-mail, serveru v dotazu pošle i tento identifikátor, aby druhá strana věděla, kdo jsme. Díky tomu se při každém obnovení stránky – při každém dotazu nemusíme opět složitě přihlašovat.

Problém nastane tehdy, kdy se tento identifikátor odesílá nešifrovaně – což je stále nejčastější, jelikož služeb, které nabízejí SSL, zase není tolik. Pokud by v takovém okamžiku použil útočník některý z výše jmenovaných programů, celkem snadno by tento identifikátor zjistil a mohl by ho zneužít.

Na podobném principu zabezpečeného přihlašování, ale už ne identifikátoru lze prolamovat:

Facebook se ve výchozím stavu chrání jen napůl. Žádný nechtěný posluchač nezjistí vaše přihlašovací jméno a heslo, protože při autentizaci se vždy používá SSL. Nicméně poté už komunikujete skrze běžný HTTP protokol a všechny informace jsou pro záškodníka čitelné.

Ovládněte cizí Facebook na dva kliky

Je to pravda? Nedalo mi to a nainstaloval jsem si FaceNiff na svůj Android. Namísto oficiální ROM používám CyanogenMod 7 s rootem, takže to bylo velmi snadné. Stačilo se skrze Wi-Fi připojit do firemní sítě a spustit program. Ten začne okamžitě skenovat komunikaci v síti, a pokud odhalí datové pakety s identifikátorem spojení na Facebook, vypíše napadnutelné kontakty.

Klepněte pro větší obrázek Klepněte pro větší obrázek Klepněte pro větší obrázek Klepněte pro větší obrázek 
Seznam nalezených facebookových kontaktů v lokální síti. Pokud na některý z nich klepnu, dostanu se na profil s odcizeným identifikátorem a získávám k němu stejná práva jako jeho skutečný majitel. Jana je grafička Computeru, která sedí v sousední kanceláře, tak jsem si z ní trošku vystřelil.

Pak už pouze stačí klepnout na ikonu nešťastníka a v prohlížeči se otevře stránka s Facebookem a podvrženým identifikátorem. Ačkoliv tedy neznáte heslo facebookového účtu, získáte absolutní moc nad jeho profilem. Můžete pod jeho jménem psát zprávičky, prohlížet fotky, případně rovnou vše smazat. Facebook si jednoduše díky ukradnutému identifikátoru myslí, že jste někdo úplně jiný. Rovnou vás ale varuji, že takovým jednáním docela hrubě porušíte zákon.

Klepněte pro větší obrázek
Tuto zprávičku Jana vážně nenapsala...

Díky masovému používání velmi snadné

Můžete namítnout, že jako útočník mohu čekat celé hodiny, než někdo v síti použije Facebook a vyšle paket s identifikátorem, ve skutečnosti to ale bude trvat jen pár sekund. Facebook načtený v prohlížeči totiž díky ajaxu neustále něco posílá na svůj server, komunikuje na pozadí prohlížeče, takže nějaký ten identifikátor ve větší síti objevíte skutečně velmi rychle.

Mnohem větší nebezpečí ale čeká na osazenstvo nějaké letní zahrádky u restaurace. Každá druhá dnes totiž nabízí Wi-Fi připojení a ve větších městech máte v podstatě téměř jistotu, že bude poblíž někdo komunikovat na Facebooku. U mobilních aplikací by neměl být problém – ty by měly používat SSL v každém případě, ale ty ostatní zjistíte.

Jak jsem ukradl Facebook svého nadřízeného (video)

Jak se proti tomu bránit?

Obrana je relativně snadná: komunikujte na Facebooku vždy a výhradně skrze SSL šifrování. Jak to nastavit? Přihlaste se na Facebook, nahoře v liště klepněte na Účet, v menu pak na Nastavení účtu a v dialogu pak najděte volbu Zabezpečení účtu. Tady nakonec zaškrtněte možnost Procházet Facebook pomocí zabezpečeného připojení (HTTPS), kdykoliv je to možné. Odhlaste se, případně smažte cookies, přihlaste se a už byste měli být neviditelní. I když kdo ví, jaká potenciální dvířka pro záškodníky ještě nechal Facebook pootevřené.

Klepněte pro větší obrázek
Přinuťte Facebook komunikovat pomocí SSL

Podobných nástrojů najdete na webu celou hromadu, princip útoku je totiž starý jako web samotný. FaceNiff se orientuje ryze na Facebook, nicméně podobným způsobem odhalíte v obecných snifferech sessiony prakticky ke všem službám, které fungují na podobném principu. U služeb, které k přihlašování nepoužívají SSL, pak hrozí i poměrně velmi snadné zjištění vašeho hesla a v takovém případě vám ani v nejmenším nepomůže to, že jste si vybrali superodolné heslo, které by měli hackeři zdolávat 250 000 000 000 let.

Internet ani zdaleka není tak bezpečný a anonymní, jak si občas naivně myslíme.


Tento článek není návodem k páchání trestné činnosti, pouze jsem na něm ukázal, jak zranitelné jsou každodenní webové služby bez použití SSL. Program nehledejte na Android Marketu a případně očekávejte další komplikace, ty zde ale vysvětlovat nebudu. Aplikace je zároveň placená. V režimu freeware vám odhalí pouze první tři účty.

Témata článku: Android, Smartphony, Bezpečnost, Sociální sítě

43 komentářů

Nejnovější komentáře

  • Lilian 28. 7. 2014 12:37:47
    Ahoj, nemuzu nikde najit ke stazeni v google obchod play aplikaci -...
  • Evča 24. 1. 2014 20:51:33
    Mám blbý dotaz, ale jak na mobilu najdu Product ID? Prolezla jsem snad...
  • Sam 7. 11. 2012 23:09:20
    Mam podobný problém prosímtě nemohl b si poradit co stáhnout lajckej...
Určitě si přečtěte

Sony Xperia XZ: když se podaří, co se dařit má [recenze]

Sony Xperia XZ: když se podaří, co se dařit má [recenze]

** Xperia XZ láká na inovovaný „seříznutý“ design a kovová záda ** Výkonu má na rozdávání a už se nezahřívá ** Fotoaparát se zlepšil, zvuk je špička

4.  12.  2016 | Láska Jan | 72

Vánoční ceník T-Mobilu: Huawei Mate 9 a levnější iPhone 6s

Vánoční ceník T-Mobilu: Huawei Mate 9 a levnější iPhone 6s

** Loňský iPhone 6s pořídíte u T-Mobilu od 17 799 Kč ** Výraznější slevy najdeme u starších modelů Xperia od Sony ** V rámci vánoční nabídky můžete mít v akci Samsungy 1+1

2.  12.  2016 | Pospíšil Aleš | 1

Začněte používat hlasové funkce Google Now. Tady je 24 ukázek pro inspiraci

Začněte používat hlasové funkce Google Now. Tady je 24 ukázek pro inspiraci

** Hlasoví asistenti nejsou vidět, uživatelé do nich obtížně pronikají ** Ještě to není ta umělá inteligence z tiskových konferencí, ale už dnes usnadní život ** Tady je pár tipů, kterými můžete začít, třeba se vám zalíbí mluvit na své mobily

2.  12.  2016 | Kůžel Filip, Polesný David | 10