articolo su linuxmagazine di dicembre....paura!!!

[aspide78]

Ho letto su linux magazine di dicembre un'articolo che mi ha lasciato sconcertato....l'articolo parlava di come è semplice all'interno di una lan sniffare ad esempio le password di accesso ai siti(per esempio anche loggarsi a gmail)...INCREDIBILE....non pensavo che ci volesse così poco per carpire queste informazioni.
Ho chiesto al sistemista della mia azienda e mi ha confermato che è così....stiamo facendo una prova per darmi la conferma...poi vi faccio sapere.

Il sistemista, mi ha anche detto che non c'è questo rischio solo dentro ad una lan, ma anche un'individuo esterno alla lan mi può carpire con molta facilità la password di accesso a gmail e a tutti gli altri siti....


Sicuramente per molti di voi questo era risaputo....ma per mè è stata una scoperta molto allarmante....
Ma c'è modo per difendersi?

[Massimo S.]

Mi sembra davvero strano, intendo per gmail, visto che la pagina di login è in https e quini le informazioni sono criptate.

Nei casi in cui viene usato http, invece è risaputo, tutti i browser, perfino Exploder, ti avvisano la prima volta che fai il post di una form in http appena installato il browser che la trasmissione non è sicura.
Di solito la gente clicca su "non avvisarmi più" e non ci pensa più 

[ryuujin]

Ma c'è modo per difendersi?

basta loggarsi solo su siti cifrati. Te ne accorgi per il lucchettino che appare nella barra di firefox... e dall'url https invece di http.
In questo caso le informazioni non vengono trasmesse in chiaro.

E' pur sempre possibile eseguire svariati tipi di attacco anche in questo caso. E ci viene in aiuto un tool sviluppato da italiani ettercap.

r

[ryuujin]

Mi sembra davvero strano, intendo per gmail, visto che la pagina di login è in https e quini le informazioni sono criptate.

anche in questo caso sono possibili alcuni tipi di attacchi, non basati sul semplice sniffing dei dati, ma su tecniche di mitm.

r.

[Massimo S.]

anche in questo caso sono possibili alcuni tipi di attacchi, non basati sul semplice sniffing dei dati, ma su tecniche di mitm.

mitm sta per "man in the middle"?

Ma si può fare anche se il ceritificato server è fidato in base ad una catena di certificati che arriva fino ad un certificato root trusted?

Leggendo quanto dice wikipedia http://it.wikipedia.org/wiki/Man_in_the_middle direi di no

[aspide78]

Il sistemista dalla mia azienda mi ha dato il file contenente il mio traffico nel momento in cui mi loggavo a gmail.....è un txt evidentemente criptato(non c'è la mia password in chiaro all'interno), ma credo che su internet si trovi senza problema un modo per decriptare il tutto, o sbaglio?

[simo_magic]

Il sistemista dalla mia azienda mi ha dato il file contenente il mio traffico nel momento in cui mi loggavo a gmail.....è un txt evidentemente criptato(non c'è la mia password in chiaro all'interno), ma credo che su internet si trovi senza problema un modo per decriptare il tutto, o sbaglio?

beh inizia a trovare il punto di inizio della password criptata
trova anche l'algoritmo di criptazione e già che ci sei anche la sua lunghezza
quando avrai i caratteri criptati e l'algoritmo ne riparliamo(non penso lo usi gmail ma mai sentito parlare di rsa o di aritmetica modulare?)

[aspide78]

ok, mi avete tranquillizzato un pò.....grassie!

[Massimo S.]

Certo che gmail usa rsa!!!!

I certificati che si usano per https contengono chiavi RSA a 1024bit di solito.

Se ci fosse un modo cosi semplice per decrittare una comunicazione SSL, ci sarebbe un crollo dell'economia mondiale che altro i mutui sub-prime!!!
Visto che anche tutti i siti di internet-banking si basano su questo, e credo anche le transazione informatiche interbancarie

[simo_magic]

Certo che gmail usa rsa!!!!

I certificati che si usano per https contengono chiavi RSA a 1024bit di solito.

Se ci fosse un modo cosi semplice per decrittare una comunicazione SSL, ci sarebbe un crollo dell'economia mondiale che altro i mutui sub-prime!!!
Visto che anche tutti i siti di internet-banking si basano su questo, e credo anche le transazione informatiche interbancarie

tutte le cose serie come banche online naturalmente ne fanno uso, compresi i siti di carte di credito ad esempio

[Massimo S.]

tutte le cose serie come banche online naturalmente ne fanno uso, compresi i siti di carte di credito ad esempio

Già e anche gmail, ma solo per la fase di autenticazione però, quindi okkio a quello che scrivete nelle vostre mail 

[ryuujin]

anche in questo caso sono possibili alcuni tipi di attacchi, non basati sul semplice sniffing dei dati, ma su tecniche di mitm.

mitm sta per "man in the middle"?

Ma si può fare anche se il ceritificato server è fidato in base ad una catena di certificati che arriva fino ad un certificato root trusted?

Leggendo quanto dice wikipedia http://it.wikipedia.org/wiki/Man_in_the_middle direi di no

no infatti.

sono possibili non significa che sono sempre attuabili . Comunque, dipende anche dall'utente. non tutti vanno a controllare i certificati che gli arrivano...

r.

[Massimo S.]

sono possibili non significa che sono sempre attuabili . Comunque, dipende anche dall'utente. non tutti vanno a controllare i certificati che gli arrivano...

r.

Già, più che altro molti utenti hanno la cattivissima abitudine di cliccare su "accetta certificato" con troppo disinvoltura, senza capire cosa stanno facendo quando il browser gli segnala che non è valido  (bad)