La conférence BlackHat de Las Vegas est un référence en matière de sécurité informatique. C’est à cette conférence, où sont présents hackers, entreprises spécialisées dans la sécurité informatique et agences gouvernementales américaines, que Robert Graham de la société “Errata Security” a fait une démonstration de piratage des services web les plus en vogue actuellement, à savoir GMail, Hotmail, Myspace, Facebook et bien d’autre encore …
La technique est simple. Robert Graham a demandé à des volontaires de se connecter à leur compte GMail par WiFi et, en utilisant 2 logiciels conçus par Errata Security, il a simplement écouté le réseau sans fil pour récupérer les identifiant de session des volontaires et a ainsi pu envoyer des mails avec les comptes en question. A noter que le mot de passe n’a pas pu être changé.
L’interception n’aurait pas pu se faire si les volontaires avaient activé l’option de cryptage des données SSL de GMail (malheureusement inactive par défaut), donc n’oubliez pas d’activer ce cryptage si vous utilisez GMail, en particulier en WiFi où l’écoute du réseau est relativement facile.
Pour utiliser le cryptage ssl, utilisez l’adresse https://mail.google.com pour vous connecter (https au lieu d’un simple http). Si vous utilisez des outils tels que l’extension Firefox GMail Notifier, regardez dans les préférences pour régler tout ça.
Et n’oubliez pas que même si rien ne sert d’être parano, il faut toujours faire attention lorsque l’on surfe sur le net.
via Zataz.com
Skwi
En même temps, à moins de travailler dans un quelconque ministère ou d’être entouré de voisins geeks et curieux, y’a quand même assez peu de risque de voir qqun passer un temps fou à tenter de lire les mails que vous envoyez à votre belle-mère ;o .. ZEN donc !
Pas forcément, il suffit de bosser sur un projet plus ou moins confidentiel dans une grosse boite pour avoir à échanger des informations qui peuvent intéresser la concurrence.
Mais bon c’est vrai que rien ne sert d’être parano non plus comme tu le souligne.
Activer la connexion sécurisée est simple et peu éviter des ennuis donc pourquoi s’en priver ?
ça dépend de la sécurité du réseau wifi…
Evidemment s’il utilise les cryptage WEP c’est facile mais ça ça fait 2 ans qu’on le dit…
Par contre en WPA avec une longueur correcte de clef ça m’étonnerais qu’il y arrive.
Et puis faut voir aussi à quoi ils servent les deux log inutile de Errata Security, s’il sont corrompu c’est mort d’avance…
Ne croyez pas que c’est si rare que ça l’écoute des réseaux wifi
De plus il existe des filtres très bien configurés qui permette de récupérer les mot de passe POP, les sessions d’authentification HTTP,, corrompre automatiquement les certificat SSH etc…
bref c’est simple d’être sécurisé, encore faut-il le faire.