Ca devenait trop difficile de nous embêter parce que nous sommes de plus en plus nombreux à utiliser des VPN ou Tor, en plus, il y a des barbus qui se rassemblent et nous proposent tous plein d’idées nouvelles pour notre sécurité, en ligne ou sur mobiles.
Donc, comme les gens s’informent (un peu) et que nous sommes de plus en plus nombreux à nous protéger, il fallait bien trouver une nouvelle idée pour nous piquer nos données… un opérateur espagnol et la ville de Paris l’ont fait !
A partir de la semaine prochaine, vous aurez des hotspots wifi dans quelques stations du métro parisien. Chouette, me direz-vous ! Fini d’attendre comme un couillon sur le quai sans la 3G ou avec un vieux Edge qui fonctionne mal… sans livre, des fois que ça vous apporterait de la culture…
Donc maintenant, vous aurez du wifi et toujours plus de pubs !
Sauf que…
Man in the middle
Sauf que si vous tapez votre mot de passe de mail, de compte facebook, celui e votre appli bancaire en étant connecté à ces bornes et bien vous prenez un risque. Suffit que quelqu’un de compétent s’amuse en quelques clics, façon man in the middle, pour que vos données soient pompées. Et là, voilà le début des emmerdes !
Comme les hotspots déjà présents dans les rues, d’ailleurs, il faut se méfier de ces bornes wifi, le meilleur moyen de s’en servir étant encore de se connecter simplement à des sites Internet, des blogs sur lesquels on ne dépose pas ses données, lire la presse, etc. Mais surtout pas sur des applis où vos données sont nécessaires, c’est juste DANGEREUX. Enfin, si vous faites hacker, ça sera toujours l faute d’un mec dans un cybercafé.
6 Comments
1 Gordon wrote:
Bien dit, mais tu pourrais donner la réaction logique à ce risque : « ENCRYPT ALL THE THING ! ». Aujourd’hui, Twitter, Gmail et Facebook sont en HTTPS par défaut, donc pas _si_ sensibles que ça à une attaque par hotspot véreux. Mais dans tous les cas, il faut vérifier en permanence qu’on utilise une connexion sécurisée, et chiffrer de bout en bout autant que possible.
2 Ju wrote:
True ! et merci, j’vais oublié la base !
3 fo0 wrote:
Gordon, tu oublies le sslstrip – mitm (PoC à la cantine pendant PSES derrière l’écran) /me ne donnera pas les nick
Bisous
4 Ju wrote:
Alors le man in the middle (mitm), je vois ce que c’est mais sslstrip, c’est ce qui redirrige le https vers des fausses pages en HTTP, j’ai bon, fo0 ? ou c’est plus compliqué que ça ?
5 fo0 wrote:
un poil plus complexe, EN GROS il faut combiné attack mitm (arpspoofing avec ettercap par exemple), sslstrip triche avec le client victime il n’attaque pas httpS mais http.
-le serveur ne voit rien, pour lui la connexion est toujours encryptée
-le client ne voit aucun message d’alerte dans son navigateur
-l’attaquant peut sniffer toutes les données car elles transitent en clair
En bonus il falsifie la requête favicon pour y coller un petit cadenas ce qui peut leurrer la majorité des gens.
6 Ju wrote:
pinaise ! (fear)