Vì sao mạng Wi-Fi có thể bị tấn công?

Tại hội nghị các hacker Toorcon 12 hôm Chủ Nhật vừa qua, lập trình viên Eric Butler đã giới thiệu add-on Firesheep dành cho Firefox với mục đích nêu lên khả năng yếu kém của mạng Wi-Fi mở.

Trong thực thế, phương pháp tấn công của Eric Butler thực hiện liên quan đến quá trình tấn công (hay có tên gọi là “slidejacking”) đến các trang web sử dụng giao thức HTTP, cho phép chặn cookie của trình duyệt vốn được sử dụng bởi nhiều trang web, bao gồm cả Facebook và Twitter, để xác định người sử dụng và cho phép bất cứ ai cũng có thể chạy chương trình để đăng nhập như là người dùng hợp pháp và làm bất cứ điều gì mà người dùng có thể làm trên một trang web cụ thể.

Trong một bài đăng trên trang web của mình, Butler mô tả cách thực hiện của Firesheep. Sau khi cài đặt, Firesheep hiển thị một nút “Start Capture” ở bên. Tất cả người sử dụng cần làm là kết nối tới một mạng Wi-Fi mở, kích vào nút này và ngay sau khi bất cứ ai trên mạng thăm một trang web không an toàn được Firesheep biết đến, chương trình sẽ bắt các cookie có chứa thông tin đăng nhập của họ.

Butler cho biết, Facebook và Twitter là hai trong số các trang web phổ biến nhất dễ bị tổn thương bởi sidejacking khi sử dụng Firesheep. Không những thế, chương trình còn có thể chụp cookie từ Foursquare, Gowalla, Amazon.com, Basecamp, bit.ly, Cisco, CNET, Dropbox, Enom, Evernote, Flickr, github, Google, HackerNews, Harvest, Windows Live, NY Times, Pivotal Tracker, Slicehost, tumblr, WordPress, Yahoo và Yelp. Ngoài ra, người dùng có thể bổ sung danh sách các trang web sử dụng giao thức HTTP của riêng mình.

Butler cho biết cách duy nhất để chống lại các lỗi tổn thương Firesheep đó là sử dụng các trang web trên giao thức mã hóa, còn được gọi là HTTPS hoặc SSL, nhưng nhiều trang web mặc định cho giao thức HTTP vì nó nhanh hơn. Người dùng có thể tìm được thông tin giao thức của mình trên trình duyệt, nhưng hầu hết họ khó có thể ý thức cho việc bảo mật đầy đủ để sử dụng nó như một giải pháp hoàn chỉnh.

Butler đã phát hành Firesheep như nguồn mở và nó có thể được tải về từ trang web của mình tại đây cho cả hai hệ điều hành Mac X và Windows, phiên bản dành cho Linux đang trên đường phát triển.