Firefox NoScript beschermt tegen nieuwe SSL-aanval
Gisteren werd een nieuwe SSL-aanval onthuld, waarbij aanvallers via een Man-in-the-middle aanval vertrouwelijke informatie kunnen stelen, ook al gebruikt de aangevallen website SSL. De Firefox plugin NoScript biedt echter uitkomst. Via de SSLstrip tool die vandaag of morgen verschijnt, plaatst een aanvaller zich tussen de website en het slachtoffer. De tool fungeert als proxy en zet https pagina's naar http om, zonder beide partijen te laten merken dat er iets mis is. Met name op publieke draadloze netwerken en onion-routing systemen is dit handig.
Partijen als Mozilla, Microsoft, Google, Apple en Opera zijn al bezig om de aanval op te lossen en dan met name het probleem van internationale domeinnamen (IDN). Daardoor is het mogelijk om in de adresbalk de volgende URL weer te geven https://www.paypal.com/login/abcdef.g54321.cn, die op een legitieme PayPal inlogpagina lijkt, maar in werkelijkheid een phishingpagina is die op het Chinese domein g54321.cn wordt gehost. Het “/” karakter is geen echte slash, maar een ander unicode karakter dat lijkt op een slash en onderdeel van een IDN subdomein is.
Wil de aanval slagen, dan moet het inlogvenster over HTTP worden aangeboden, zelfs als het de rest van de informatie over HTTPS uitwisselt. Iets wat helaas nog altijd voorkomt, zoals bij Google en banksites. NoScript heeft de oplossing. Gebruikers kunnen via de volgende twee stappen zich tegen de aanval beschermen:
- Open NoScript Options|Advanced|HTTPS|Behavior.
- Ga naar het tekstgedeelte genaamd “Force the following sites to use secure (HTTPS) connections” en voeg daar de sites toe die je wilt beschermen en gebruik een spatie om ze te scheiden. Bijvoorbeeld twitter.com *.whacovia.com *.bankofamerica.com *.paypal.com etc.
Het “/” karakter is geen echte slash, maar een ander unicode karakter dat lijkt op een slash en onderdeel van een IDN subdomein is.
Wat voor prut systeem geeft dat dan weer als een slash ipv bijv. een chinees teken.
Oh, Windows...
Het “/” karakter is geen echte slash, maar een ander unicode karakter dat lijkt op een slash en onderdeel van een IDN subdomein is.
Wat voor prut systeem geeft dat dan weer als een slash ipv bijv. een chinees teken.
Oh, Windows...
Als je bepaalde sites wilt beschermen, dan kan je ze ook aanmerken als "vertouwde websites" (bijvoorbeeld https://mijn.postbank.nl). Als daar dan mee gerommeld wordt, dan valt dat direct op. Daarvoor heb je echt geen aparte invoegtoepassing nodig.
;-p
- Tik als URL: [url=about:config]about:config[/url]
- Negeer de waarschuwing
- Tik in de filterbalk (bijna bovenaan): network.enableIDN
- Dubbelklik de regel daaronder (waarvan de preference naam "network.enableIDN" is) zodat de status in "user set" en de value in "false" wijzigt.
- Sluit alle firefox vensters en start firefox weer op. Klaar!
-Internetopties
-Geavanceerd
-IDN-servernamen verzenden
Maar bij uitschakelen voldoe je -strikt genomen- niet meer aan de standaarden. Oeps ;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.