social

Μην έχεις εμπιστοσύνη ούτε… στον browser σου

social

Το ζήτημα της εμπιστοσύνης και του “social engineering“, θεωρείται ο πιο γρήγορος τρόπος παραβίασης ενός συστήματος. Παρακάτω παρουσιάζονται 2 τρόποι μέσω των οποίων μπορούν να κλαπούν οι κωδικοί των χρηστών.

Ο πρώτος τρόπος είναι απλός αλλά θα βοηθήσει τους χρήστες να αντιληφθούν πόσο εκτεθειμένοι είναι οι κωδικοί τους (facebook και όχι μόνο) στα μάτια του οποιουδήποτε, εάν εμπιστεύονται τον φυλλομετρητή τους.

Ναι ναι ξέρω, βαριέσαι να κάνεις login κάθε φορά  κλπ κλπ.  Σε νιώθω! Αλλά προτιμώ να κάνω login “χειροκίνητα” , παρά να έρθει μέρα που δεν θα μπορώ να κάνω login επειδή θα είναι λάθος ο κωδικός!

1ος τρόπος:

Διαβάστε εδώ : WebBrowserPassView.

Όπως μπορείτε να δείτε είναι ένα εργαλείο, το οποίο κάνει κάτι πολύ απλό. Βοηθά στην επαναφορά των κωδικών πρόσβασης από όλους τους φυλλομετρητές που υπάρχουν στο σύστημα του εκάστοτε χρήστη.

Μπείτε σε μια ιστοσελίδα, καταχωρήστε τον κωδικό σας (π.χ. facebook), και αφήστε τον browser να τους αποθηκεύσει (θα ρωτήσει , και θα δεχτείς!).

Τώρα κατεβάστε το WebBrowsePassView και εκτελέστε την εφαρμογή (δεν χρειάζεται εγκατάσταση). Εάν πράγματι αφήσετε τον φυλλομετρητή να αποθηκεύσει τα στοιχεία, τότε ο WebBrowserPassView, θα βρει και θα εμφανίσει τα στοιχεία αυτά! (και τα στοιχεία όσων άλλων λογαριασμών έχεις σε άλλες ιστοσελίδες).

“Ε και; τι μ'αυτό; Δεν τα είδε κανείς.”

Ναι δεν τα είδε κανείς…τώρα!

Παρόμοιοι κώδικες, σαν αυτός του πιο πάνω προγράμματος, μπορούν να ενσωματωθούν σε ένα το οποίο αρχίζει να εκτελείται  στον (μέσω διαφόρων τεχνικών, επιθέσεων phishing, κλπ.). Το πρόγραμμα κάνει αυτό που προαναφέρθηκε και γιατί όχι…στέλνει τα στοιχεία σου σε κάποιον συγκεκριμένο που τρίβει τα χέρια από ικανοποίηση… Και επειδή αυτό το πρόγραμμα “έτρεχε” στο παρασκήνιο, εσύ δεν κατάλαβες τίποτα!

Συμπέρασμα:

1. Κάθε ένας που έχει πρόσβαση στον υπολογιστή του χρήστη μπορεί να έχει πρόσβαση στους κωδικούς του.

2.Ένας κακόβουλος επιτιθέμενος που αποκτά πρόσβαση στο σύστημα του χρήστη, μπορεί απλά και εύκολα να πάρει όλους τους κωδικούς του (με διάφορα script που περιέχουν παρόμοιο κώδικα με αυτό του WebBrowserPassView).

Και όλα αυτά μόνο και μόνο επειδή… εμπιστεύεσαι τον browser!

2ος τρόπος:

Ο δεύτερος τρόπος είναι ελαφρώς πιο σύνθετος, αλλά το αποτέλεσμα είναι το ίδιο.

Η επίθεση στηρίζεται στην δημιουργία ιστοσελίδας-κλώνου μιας άλλης ιστοσελίδας, και ο επιτιθέμενος φροντίζει να “τρέχει” σε κάποιο εξυπηρετητή (για σκοπούς παραδείγματος έστω ότι είναι ο 111.111.111.111 και σε αυτόν “τρέχουμε” κλώνο του facebook). Ο επιτιθέμενος πρέπει να φροντίσει να κατευθύνει το θύμα στην σελίδα 111.111.111.111 και να πείσει τον χρήστη πως η σελίδα αυτή είναι όντως το facebook. Εάν τα καταφέρει, τότε ο χρήστης μόλις επιχειρήσει login, τα στοιχεία πρόσβασης στέλνονται αμέσως στον επιτιθέμενο. Ίσως αυτό είναι πολύ δύσκολο για να ξεγελαστεί κάποιος, καθώς το bar (με το 111.111.111.111 ) “βγάζει μάτι”!

Η επίθεση όμως γίνεται πιο σύνθετη (εε μην διαμαρτύρεστε! no pain , no gain! ).

Σε κάθε υπολογιστή, είτε linux είτε windows, υπάρχει ένα αρχείο που ονομάζεται “hosts”.  Είναι το πρώτο αρχείο που θα ελεγχθεί από τον φυλλομετρητή (πριν ακόμα ελέγξει DNS Servers), ώστε να εντοπίσει την IP διεύθυνση που αντιστοιχεί στο domain name που πληκτρολόγησε ο χρήστης. Έτσι ο κακόβουλος χρήστης πρέπει να έχει πρόσβαση στον υπολογιστή για μόλις 30 δευτερόλεπτα, ώστε να καταχωρήσει στο αρχείο, το εξής:

www.facebook.com            111.111.111.111

Στη συνέχεια, όταν ο χρήστης ανοίξει τον φυλλομετρητή, πληκτρολογεί www.facebook.com, ο οποίος “διαβάζει”  111.111.111.111 και ο χρήστης μεταφέρεται σε μια σελίδα που μοιάζει με το facebook , αλλά δεν είναι το facebook ! Και φυσικά δεν καταλαβαίνει τίποτα αφού και το αddress bar συνεχίζει να γράφει “www.facebook.com”. Κάνει login και…you have been !

Ελπίζω να έχετε πειστεί ότι κάποιος με πρόσβαση στον υπολογιστή σας και ελάχιστο χρόνο στην διάθεση του, μπορεί να κάνει πολλά.

Γι'αυτό λοιπόν τον υπολογιστή και τα μάτια σας!

iGuRu.gr The Best Technology Site in Greecefgns

κάθε δημοσίευση, άμεσα στο inbox σας

Προστεθείτε στους 2.100 εγγεγραμμένους.

Written by Δημήτρης

O Δημήτρης μισεί τις Δευτέρες.....

2 Comments

Leave a Reply
  1. @anonymous   Το συστήνω ανεπιφύλακτα φίλε. Ο AES (Advanced Encryption Standard) αλγόριθμος που χρησιμοποιεί εγγυάται την ασφάλεια τον κωδικών σου. Αν δεν κάνω λάθος το 1password μετακινήται σε 256-bit κλειδί, που το κάνει ακόμα πιό ισχυρό, αλλά θα στοιχίσει λίγο στην απόδοση.

    Για όσους δεν ξανα άκουσαν για τον  AES , θα μπορούσαν να δουν ακριβώς πως λειτουργεί εδώ :  https://www.youtube.com/watch?v=J10GALwsPYM

  2. Ποια η άποψη σου για το πρόγραμμα 1password που κρυπτογραφεί τους κωδικούς με AES μέσα στο πρόγραμμα και τους έχεις όλους εκεί χωρίς να χρειάζεται να το κάνει ο browser σου;

Αφήστε μια απάντηση

Η ηλ. διεύθυνση σας δεν δημοσιεύεται. Τα υποχρεωτικά πεδία σημειώνονται με *

Το μήνυμα σας δεν θα δημοσιευτεί εάν:
1. Περιέχει υβριστικά, συκοφαντικά, ρατσιστικά, προσβλητικά ή ανάρμοστα σχόλια.
2. Προκαλεί βλάβη σε ανηλίκους.
3. Παρενοχλεί την ιδιωτική ζωή και τα ατομικά και κοινωνικά δικαιώματα άλλων χρηστών.
4. Διαφημίζει προϊόντα ή υπηρεσίες ή διαδικτυακούς τόπους .
5. Περιέχει προσωπικές πληροφορίες (διεύθυνση, τηλέφωνο κλπ).