Så kommer du åt dina kollegors Facebook
Om du läst nyheterna idag och igårkväll kan du inte ha missat säkerhetshålet i Facebook. Det är ett säkerhetsproblem som gör att du kan komma åt kontona för alla Facebook-användare som är anslutna till samma WiFi-nät som du. Det enda du behöver är ett tillägg för Firefox.
Obegränsat webbhotell! – StrongBox har obegränsat lagringsutrymme, antal databaser och e-postkonton, gratis domänpekningar. Läs mer, klicka här!
Jag tänker inte tala om var du kan ladda ner tillägget för Firefox, men vem som helst kan hitta det via Google. Tillägget är utvecklat av en firma som vill demonstrera säkerhetshålet och vi kan utgå från att Facebook inom kort kommer att lösa det här.
Uppdatering: Efter att så gott som alla andra medier talat om vad tillägget heter, kan jag också göra det: det heter Firesheep, och det är utvecklat av Code Butler.
Det enda du behöver göra är att installera tillägget och öppna det via Firefox och menyn Visa -> Sidofält -> Firesheep. Då öppnas ett fönster till vänster i webbläsaren och här visas alla Facebook-inloggningar som finns på nätverket.
Hur kan då detta vara möjligt? Jo, när du loggar in på Facebook skickas en cookie till dig med ett unikt ID-nummer. Det här är tydligen det enda som behövs för att logga in. Tillägget använder cookien för att fejka en inloggning via Firefox. Det hjälper inte att stänga av lagring av cookies i din webbläsare, eftersom datan fortfarande skickas till dig.
I hemmet kan du således komma åt alla familjemedlemmar som är inloggade. Om grannen inte har lösenordsskyddat sitt WiFi så att du kan ansluta till hans nätverk kan du komma åt dennes familjs konton. Och om ni har WiFi på jobbet kan du få fram alla inloggade kollegor. För att inte tala om nätverk på bibliotek, kaféer, skolor och så vidare.
Förutom Facebook verkar tillägget komma åt en lång rad andra tjänster, som listats hos Expressen:
Basecamp, bit.ly, Cisco, CNET, Dropbox, Enom, Evernote, Facebook, Flickr, Github, Google, HackerNews, Harvest, Windows Live, NY Times, Pivotal Tracker, Slicehost, tumblr, Twitter, WordPress, Yahoo, Yelp
Tommie Podzemski har skrivit en bloggpost om hur det fungerar genom att kapa sessions-ID.
Läs också om hur du skyddar dig mot Firesheep!
Mer läsning:
- Nytt program kapar ditt Facebook-konto [Aftonbladet]
- Nytt Firefoxtillägg kapar Facebook och Twitter [IDG]
- Varning för intrång på Facebook [DN]
- Programvara kapar inlogg på sekunden [Sydsvenskan]
- Nytt program kapar ditt Facebook-konto [Expressen]
- Kapad på ett klick [SVT]
- Varning för intrång på Facebook [SR]
Gillade du inlägget? Dela gärna till dina kompisar!
| Säkerhetspaket | Pris | Licens | |
| Panda Rea! | 524 kr (175 kr/PC) | 1 år/3 PC |  |
| Norton Bäst i test | 599 kr (199 kr/PC) | 1 år/3 PC | |
| McAfee Rea! | 324 kr (108 kr/PC) | 1 år/3 PC | |
| F-Secure | 645 kr (215 kr/PC) | 1 år/3 PC | |
| Kaspersky | 589 kr | 1 år/1 PC | |
| ESET Nod32 | 594 kr | 1 år/1 PC | |
| Trend Micro | 649 kr | 1 år/1 PC | |
Kenny
sa,
oktober 26, 2010 @ 10:04 | Svara
Det är inte direkt ett säkerhetshål eftersom alla webbtjänster implementerar det på samma sätt. De gör det för att det inte finns något annat sätt att göra det på.
Facebook bygger på PHP, PHP använder sig av SESSION-kakor på webbserverns egna sida för att undvika att data som lösenord och sånt sniffas fram från folk som övervakar trafiken. Detta är alltså en vanlig implementation på webbsidor och även din blogg gör samma sak. Det är helt enkelt ett sätt att undvika säkerhetsproblemen som uppstår när man sparar datan i kakor på användarens sida.
Men du måste givetvis fortfarande identifiera dig mot webbservern på något sätt. Eftersom kakor är det enda webbläsare och webbservrar har att använda sig av när de lagrar data som inte ska tas bort efter att sidan uppdateras eller du navigerar runt på sidan så måste alltså även denna identifieringen lagras i en kaka.
Lägg till en person som sniffar lite paket så kan han lätt extrahera id-kakan som skickas från användarens sida hela tiden, sedan behöver han själv bara lägga in den och börja bläddra i ditt namn.
Så detta är alltså inget som enbart har med Facebook att göra. Alla webbsidor med en inloggningsfunktion har samma ”problem” och så länge trafiken inte är krypterad via SSL eller minst WPA2 så kan jag garantera att det är lätt att kapa någons id-kaka. Allt som krävs är olika mängd tid.
För att lättare förstå att detta är alltså inte något direkt ovanligt problem så rekommenderar jag dig att göra en säkerhetskopia av din webbläsares kakor och cache och sedan återställa den på någon annan dator. Om du någonsin har gjort det så vet du att resultatet är att allting är EXAKT som det var på den andra datorn, inklusive vilka webbsidor du är inloggad på eller inte.
TkJ
sa,
oktober 26, 2010 @ 10:34 | Svara
Kenny: Tack för infon! Jag personligen vet hur det fungerar, men ville inte göra blogginlägget för långt och tekniskt. Då är det bättre att det kommer en välskriven kommentar! :)
Nabil
sa,
oktober 26, 2010 @ 13:32 | Svara
Kalla mig för en idiot, men jag ska allt testa på detta hemma. Alltid velat skoja lite på min brors konto…
Erik
sa,
oktober 26, 2010 @ 14:00 | Svara
@Kenny: Känns ju tryggt att veta att det inte ens är ett säkerthetshål utan att det är så som alla jobbar. (ironi)
Tur att man litar på familjemedlemmarna iaf :)
Firefox-tillägg kapar ditt Facebook-konto — Moheffa sa,
oktober 26, 2010 @ 14:03 | Svara
[...] mer om Firesheep har bland annat följande sidor skrivit om ämnet: ComputerWorld, Sydsvenskan, TkJ, Expressen, Macken, TechCrunch, Jardenberg, [...]
Så enkelt hackar du dina kompisars Facebook | Teknikbrunnen.se sa,
oktober 26, 2010 @ 16:45 | Svara
[...] Tkj, Expressen och IDG har skrivit om Firesheep. Bilden är från [...]
Johannes
sa,
oktober 26, 2010 @ 18:46 | Svara
Sitter man på samma dator som någon annan använder är det bara att gå in i dennes profil och hämta kakorna. Det behövs inget trådlöst nätverk.
TkJ
sa,
oktober 26, 2010 @ 19:16 | Svara
Johannes: Nä, det är klart – har man samma dator behöver man inte gå via nätverket… :)
Tweets that mention Så kommer du åt dina kollegors Facebook -- Topsy.com sa,
oktober 26, 2010 @ 19:24 | Svara
[...] This post was mentioned on Twitter by Tommy k Johansson and Jesper Lind, Magnus Bojmar. Magnus Bojmar said: RT @tkj Så kommer du åt dina kollegors Facebook http://bit.ly/9tdC64 [...]
Firesheep-attack mot Facebook etc. | Kryptering - Information och nyheter om krypto sa,
oktober 26, 2010 @ 21:33 | Svara
[...] TKJ [...]
Sigyn
sa,
oktober 27, 2010 @ 23:42 | Svara
Vad som vore mer intressant i sammanhanget vore att någon informerade oss ”teknikidioter” hur man ska skydda sig mot dessa illdådare! Jag har inget intresse av att spionera på någon i min omgivning och vill heller inte spioneras på.
Firefox-tillägget Firesheep: vår nya fiende [skydda dig] sa,
oktober 30, 2010 @ 23:31 | Svara
[...] mot Firesheep och andra facebook-hack (Jardenberg) Bästa skyddet mot Firesheep- VPN (Jardenberg) Så kommer du åt dina kollegors Facebook (TkJ) Så skyddar du dig mot Facebook-intrången (TkJ) Så här skyddar du dig mot Firesheep [...]
Personlig assistent
sa,
mars 29, 2011 @ 20:45 | Svara
Det finns helt klart säkerhetsproblem med php. Jag har arbetat med detta och känner till en del kryphål. De täpps dock igen ganska snabbt.