Gebruikers van Gmail en talloze andere websites die via HTTPs inloggen lopen toch risico dat een hacker hun logingegevens steelt. Tijdens de Defcon conferentie demonstreerde reverse engineer Mike Perry hoe hij de cookies van sites als Gmail, Facebook en Amazon kan bemachtigen.

Om de logingegevens van bijvoorbeeld Gmail-gebruikers te stelen die via HTTPs zijn ingelogd, volstaat het voor een aanvaller om het slachtoffer een afbeelding van http://mail.google.com te laten laden. De browser toont dan de sessie cookie voor Gmail, zodat iedereen die het netwerk afluistert toegang tot het Gmail account van het slachtoffer krijgt. De aanval leent zich uitstekend voor een draadloos netwerk, maar zou mogelijk ook in combinatie met het DNS-lek van Dan Kaminsky zijn te gebruiken.

Een slachtoffer logt via een draadloos netwerk in op zijn Gmail account. Natuurlijk gebruikt hij hiervoor https://mail.google.com. In de tussentijd worden ook andere pagina's bezocht, waarna een aanvaller bijvoorbeeld een afbeelding van http://mail.google.com op gevraagde sites injecteert. Om de aanval te vereenvoudigen ontwikkelde Perry een tool, die niet alleen bij Google maar ook bij talloze andere websites is te gebruiken.

Vals gevoel van veiligheid

De aanval is niet nieuw, Google werd vorig jaar al voor het probleem gewaarschuwd. Nu voegde het laatst wel de optie voor https gebruik toe, dit staat niet standaard ingeschakeld. Mensen die deze optie inschakelen zijn wel bestand tegen de aanval, in tegenstelling tot wie via https://mail.google.com inlogt. "Google legde niet uit waarom deze maatregel zo belangrijk is," aldus Perry. "Het geeft mensen die normaal via https op Gmail inloggen een vals gevoel van veiligheid, omdat ze denken dat ze veilig zijn terwijl dit niet zo is."

De onderzoeker kijkt nu of ook banksites met dit probleem te maken hebben. Internetgebruikers die zich zorgen maken wordt geadviseerd om netjes uit te loggen als ze op een website klaar zijn, aangezien dan ook het cookie verloopt. De tool van Perry zal binnen twee weken voor het publiek beschikbaar zijn.