Cookie Cadger kaapt cookies van WiFi-netwerken
Een beveiligingsonderzoeker heeft een tool ontwikkeld waarmee het mogelijk is om cookies van allerlei soorten netwerken te kapen. De Cookie Cadger tool is het werk van Matthew Sullivan en werd afgelopen weekend tijdens Derbycon onthuld. Cookie Cadger is een grafische pentest-tool die de 'kracht' van Wireshark en Java gebruikt om een volledige open source, cross-platform tool te bieden die bedraad ethernet en onbeveiligde WiFi-verbindingen kan monitoren en opgevangen pakketjes voor offline analyse kan laden.
In 2010 verscheen de Firefox plug-in FireSheep, die aantoonde hoe onveilig het is als websites niet voor de gehele sessie HTTPS gebruiken. Veel websites laten gebruikers wel via HTTPS inloggen, maar schakelen daarna voor al het overige verkeer terug naar HTTP.
Een aanvaller op bijvoorbeeld een open WiFi-netwerk kan de HTTP-pakketjes opvangen en zo de sessie van de gebruiker overnemen. In de HTTP-cookies staat namelijk dat de gebruiker is ingelogd.
Speeltje
FireSheep was volgens Sullivan instabiel en heeft niet meer goed sinds Firefox 3.6 gewerkt. Wel heeft het ervoor gezorgd dat grote sites als Twitter en Facebook gebruikers aanbieden om al het verkeer over HTTPS te laten lopen. "Dit is echter niet genoeg, webapplicaties moeten de verantwoordelijkheid voor de veiligheid van hun gebruikers nemen. Het is tijd dat alle gebruikers standaard SSL/TLS gaan gebruiken."
Cookie Cadger is volgens Sullivan geen speeltje, maar een echte pent test-tool, waarmee lekke applicaties zijn te testen, maar het ook mogelijk is om mensen te 'pwnen' en te laten zien dat open WiFi geen goed idee is. De broncode mag dan openbaar zijn, de tool kost tot 30 oktober 10 dollar. Het volledige aankoopbedrag gaat naar de liefdadigheidsinstelling Hackers for Charity.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Security-engineer IAM
Krijg jij energie van technische vraagstukken op het vlak van Security en Risk? En steek je graag je handen uit de mouwen om zelf een bijdrage te leveren aan een veilige digitale omgeving waarin de data en euro’s van onze klanten worden beheerd. Dan komen we graag met jou in contact.
Senior Security Consultant
Als security consultant bij Cegeka speel je een uitermate belangrijke rol in het veilig houden van de bedrijven in Nederland en de Nederlandse maatschappij. Vandaar ook dat Cegeka dit hoog op de agenda heeft staan. Wij doen dit door, in close cooperation, onze klanten advies te geven op strategisch, tactisch en operationeel niveau.
