Kiben bízhatsz vezeték nélkül?

A két napos karácsonyi hasnövelő családi túra után a mikroökonómia csodálatos világában kezdtem elmélyülni, amikor összeakadtam az alábbi leírással a wi-fiplanet weboldalán. A tanulmány azért is keltette fel az érdeklődésemet, mivel a második HuWiCo találkozón éppen a HotSpot biztonsággal kapcsolatban tartottam ( sikeres/kevésbé sikeres ) előadást.

Mostanában voltam egy másik városban egy informatikai biztonsági konferencián. Amíg ott voltam felfedeztem egy kávézót, amely elég tág értelemben lehet csak internet kávézónak nevezni. Hatalmas, konfortos és túltömött fotelek és kanapék, ingyenes vezeték nélküli internet és olyasmi asztalok, amiken a második osztályos leckédet csináltad otthon a konyhában.

Elég sok időt töltöttem ebben a kávézóban, dolgoztam a feljegyzéseimen a konferenciára, illetve az irodai feladataimmal foglalkoztam. Meglehetősen sok időt töltöttem el azzal is, hogy alaposan megvizsgáljam a vendégeket, és azon gondolkodtam, hogy mekkora az esélye annak, hogy valaki éppen a repkedő csomagokat vizsgálja.

Csomagok vizsgálata - köztudottan "sniffing" - egy nagyon egyszerű gyakorlat. Az ember letölti az internetről a megfelelő szoftvereket, elindítja, beállítja, hogy minden átmenő csomagot lásson, elkapjon, és ezt le is menti ( loggolja ), vagy valós időben vizsgáljuk. A jel terjedési távolságán belül gyakorlatilag bárki láthattja, hogy mit csinálunk az interneten.

A jelerősség a kávézóban lehet akár olyan erős is, hogy egy egész épület blokkot áthidalja, így nem csak az étterem vendégei jelentik az egyetlen veszélyforrást. Bárki ezen a távolságon belül hallgathatja az "adást".

Ha találkoznál velem az utcán, nem látnál mást, mint egy jól öltözött - csinos frizurájú, tiszteletre méltó középkorú nőt. Nem biztos, hogy elhinnéd, hogy képes vagyok "sniffelni".. Végül is Mac-et használok, és az nem azoknak való, akik nem tudják kezelni a Windows operációs rendszer komplexitását. Senki sem gondolna még egyszer az egyedülálló nőre, aki képeket szerkeszt.

De hiba elutasítani engem, vagy bárki mást, akire nem jellemző az elképzelt "hacker" kinézetet, mint veszélyforrást. Számomra triviális elindítani a gépemet, és olyan szoftvert indítani, amellyel el tudom kapni az összes, a fejünk fölött repkedő csomagokat.

És mi a legjobb az egészben?

El tudom indítani, és futtatni tudom, amíg képeket szerkesztek, majd vissza tudok menni a hotelszobámba, és újra összeállítva a csomagokat meg tudom keresni az érdekes adatokat, mint például a felhasználónév, jelszó párokat, kreditkártya számokat, vagy más érzékeny információkat. Web, AIM, e-mal - amig az adat nincs titkosítva, el fogom tudni olvasni. De ha egyszerűen van titkosítva, például ROT13-al, akkor is el fogom tudni olvasni.

Rendben, mondjuk te nem használsz publikus vezeték nélküli hálózatot. Néha napján megnézed a leveleidet egy barátod hálózatából. És egyébként is, te csak a vacak hotmail hozzáférésedet nézed meg. Nem is csinálsz semmit, aminek sérülésével veszélybe kerülhetnek a privát adataid.

Rendben, vessünk erre egy pillantást.

A barátod fizet az internet elérésért? Van vezeték nélküli hálózata? Vagy talán nem is tud túl sok mindent a számítógépről vagy a hálózatokról? Elég fifikás ahhoz, hogy az operációs rendszere osszes biztonsági frissítését feltegye időben, és bekapcsolja a számítógépe tűzfalát? Sok spam-et kap, amikre rá is kattint, és telepít mindenféle kis programot, amikkel megfertőzi a gépét mindenféle adware és spyware programokkal? Ha használ vezeték nélküli hálózatot titkosítja a kommunikációját? A vezeték nélküli hálózata jelszóval titkosított, vagy naívan ad hozzáférést az egész háznak?

Nos, nézzünk meg valami mást.

Nézzük meg ezt a te vacak hotmail hozzáférésedet. Had találjam ki, csak eBay, uBid és onsale.com levelezésre használod. Ezek azok a levelek, amelyeket nem akarsz a munkahelyi címedre küldetni. Talán még a PayPal hozzáférésedhez is ezt a címet használod. És úgy gondolod, hogy ha a spamjunkbin@hotmail.com címedet kompromittálják, semmilyen baj nem történhet.

De ne felejtsük el, hogy minden tranzakciód azon a szerveren van, így a támadó újra összerakhatja a számlaszámodat, még a jelszavadat is megszerezheti, de a számára legrosszabb esetben is elolvashatja a jelszó emlékeztető mondtatodat.. Ezek a lehetőségek mindíg ott vannak.

A Microsoft ajánlja a tűzfal használatát. Ez azonban nem védi meg az adataidat, miután azok elhagyják a gépedet. Azt is ajánlják, hogy "rejtsd el a filejaid". Ezt nem is kommentálom. ( én elkezdtem röhögni - kodmon ) A Microsoft azt is mondja, hogy ne küldj bankkártya számokat vagy jelszavakat nyílt hálózaton. Természetesen az a legjobb védekezés egy nem megbízható hálózattal szemben, hogy nem használjuk.

A legkézenfekvőbb és talán a legjobb megoldás a Virtual Private Network ( VPN ). A VPN úgy működik, hogy felépít egy "csatornát" ( tunnelt ) az otthoni ( céges vagy ISP által szolgáltatott ) hálózatba, és onnan küldi tovább úgy, mintha a kommunikáció onnan jött volna. Az alap koncepció az, hogy a tunnel a szerverig egy megbízható vonal, amit lehet ugyan sniffelni, de a titkosítás feltörése nehézségekbe ütközik.

Ha nem tudod, hogy van-e lehetőséged VPN használatára, beszélned kellene egy általad megbízhatónak tartott IT szakemberrel, aki vagy tud neked adni egyet, vagy meg tudja mondani, hogy nincs lehetőséged erre. Ha azt mondja, hogy ilyenre nincs lehetőséged, keresd meg az ISP-det, és érdeklődd meg, hogy ők tudnak e neked segíteni ebben.

Az egész tanulmány jelentése az, hogy sohasem tudhatod, hogy ki képes megfigyelni a vezeték nélküli adataidat. Ki az, akiben megbízhatsz, hogy nem sniffeli a forgalmadat? Megbízhatsz a srácban, aki a gépe fölé görnyed a sarokban? Mi van azzal a csajjal, aki a PDA-jával játszik? ( Igen, léteznek sniffer programok PDA-ra ) Mi van azzal az emberrel, aki a hátsó szobában éppen bekapcsolja a laptopját és beállítja promiscuous módba, hogy lementsen minden elkapható csomagot fileba.

Nézz szembe a ténnyel, senkiben sem bízhatsz meg.

Néha, amikor először találkozok emberekkel, és megpróbálom elmagyarázni nekik, hogy mi a foglalkozásom, elmondom, hogy hálózati biztonsági szakember vagyok, de ez nem elegendő. Megpróbálom megmagyarázni, hogy én úgy nézem a világot, hogy lássam azokat a veszélyeket, amelyek az ügyfeleimet érhetik. Sokan azt hiszik paranoid vagyok, a szüleimet is beleszámítva, akik nem is értik teljesen mi az, amit ténylegesen csinalok. De én nem vagyok paranoid. Egyszerűen csak gyakorlatias vagyok, és nagyon tisztában vagyok a farkassal a bárányok között.

Úgy gondolom, ha én ki tudom ezeket találni, más is kitalálta, sőt, már meg is csinálta.

A teljes tanulmány Linda LeBlanc tollából az alábbi címen olvasható eredeti nyelven és teljes terjedelmében.