99% Android-telefoons lekt inloggegevens
Android-gebruikers die via onbeveiligde draadloze netwerken surfen, lopen het risico dat aanvallers er met hun inloggegevens vandoor gaan. Duitse beveiligingsonderzoekers hebben een probleem ontdekt in de manier waarop Android-telefoons gegevens versturen. Sommige applicaties versturen de authenticatie tokens voor het inloggen als platte tekst. Aanvallers kunnen zo via het gratis programma Wireshark deze tokens onderscheppen en zelf gebruiken.
"De aanval lijkt op het stelen van sessiecookies van websites (Sidejacking). De haalbaarheid van Sidejacking tegen bekende websites zoals Facebook en Twitter, is onlangs door de Firesheep plugin gedemonstreerd, die veel aandacht kreeg", aldus de onderzoekers van de Ulm Universiteit.
WiFi-netwerken
In Android 2.3.4 en 3 gebruikt Google inmiddels HTTPS, maar nog niet voor de Picasa app. Het grootste risico lopen gebruikers met Android 2.1 en 2.2 toestellen. "Tot en met Android 2.3.3 versturen de Calendar en Contacts apps gegevens als platte tekst via HTTP en zijn daardoor kwetsbaar voor de authToken-aanval. Dit treft 99,7% van alle Android smartphones", zo laten de onderzoekers weten. "vanaf Android 2.3.4, gebruiken de Calendar en Contacts apps een veilige HTTPS-verbinding. De Picasa synchronisatie gebruikt nog steeds HTTP en is dus kwetsbaar."
De onderzoekers adviseren gebruikers dan ook om naar Android 2.3.4 te upgraden. In veel gevallen is een update echter niet beschikbaar. In dat geval kan men de automatische synchronisatie feature uitschakelen. "De beste bescherming op het moment is het vermijden van open draadloze netwerken bij het gebruik van de kwetsbare apps."
Laten we eerst eens beginnen met eindgebruikers ervan bewust te maken dat een onbeveiligd netwerk niet verstandig is, daarna om alleen via https/pop3s/imaps enzovoorts gebruikersnamen en wachtwoorden te versturen.
Als daarnaast ook nog eens goed wordt gewerkt aan cliënt/server beveiliging zijn we nog een stukje verder.
Wat ik overigens wel knap vind is dat er toch gegevens als platte tekst via HTTPS worden verstuurd, dat is (op zijn zachtst gezegd) niet netjes en duidelijk een programmeerfoutje.
Laten we gebruik maken van een beveiligde verbinding, waarover we niet beveiligde informatie gaan sturen, dat is makkelijker zucht.
https://www.blackvpn.com/support/android/
Als ik surf doe ik dat alleen via mijn eigen beveiligde wifi-netwerk.
1 of andere "specialist" uit het kabinet zal wel zeggen: "Wireshark verbieden, probleem opgelost."
Mogelijk, Ik heb thuis een openvpn server, door die tunnel connect ik naar mn torrentserver (ter bediening). Maar met een configfile regeltje in je server kan je ook al het verkeer erdoorheen tunnellen. Door gebruik te maken van UDP (wat standaard zo is) blijft je dataconnectie waarschijnlijk ook niet constant open en is de battery-drain minimaal. Werkt zoiezo op android 2.3
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.