Firesheep macht unverschlüsselte Sitzungen sichtbar
Zusammenfassung
Eric Butler veröffentlicht eine Firefox-Erweiterung, die Sitzungscookies aus offenen WLANs erfasst und damit die Folgen unvollständiger HTTPS-Nutzung demonstriert. Sicherheitsprobleme erhalten Priorität, sobald ihre Ausnutzung billig und anschaulich wird.
Ideen
- Viele Dienste verschlüsselten damals die Anmeldung, übertrugen spätere Sitzungscookies aber offen.
- Ein mitgeschnittenes Cookie konnte eine bestehende Sitzung ohne Passwort übernehmen.
- Firesheep machte einen bekannten Protokollfehler für Nicht-Spezialisten unmittelbar sichtbar.
Einsichten
- Teilverschlüsselung schützt Geheimnisse nicht, wenn die nachfolgende Sitzung ungeschützt bleibt.
Empfehlungen
- Erzwinge HTTPS für die gesamte Sitzung und setze Cookies auf Secure sowie HttpOnly.
- Nutze in fremden Netzen keine Dienste, die noch unverschlüsseltes HTTP erlauben.
Referenzen
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.