SSL kan Gmail logingegevens niet beschermen
Consumenten die hun Gmail via een draadloos netwerk controleren, lopen het risico dat hackers op hun account kunnen inloggen. Vorig jaar demonstreerde beveiligingsonderzoeker Robert Graham een nieuwe tool waarmee het kinderlijk eenvoudig is om Gmail, Hotmail en andere logins voor webaccounts, via een onbeveiligd draadloos netwerk te stelen. Aanvallers kunnen zelfs achterhalen wat mensen online besteld hebben. De "Hamster", zoals de software wordt genoemd, blijkt ook SSL Gmail verkeer te kunnen onderscheppen.
Voorheen werd aangenomen dat dit veilig was, omdat Gmail in SSL mode alles versleutelt. Gmail's JavaScript blijkt echter terug te vallen op de niet versleutelde http mode als https niet beschikbaar is. Dit komt regelmatig voor als een laptop verbinding maakt met een hotspot voordat de gebruiker is ingelogd. Als de laptop wordt geopend en verbinding maakt met een WiFi hotspot, laat het meestal een loginpagina met de gebruikersovereenkomst zien. Op dit moment wordt SSL geblokkeerd en communiceert Gmail's JavaScript via de onversleutelde http mode, en kan een aanvaller de gegevens stelen.
Andere applicaties zoals Microsoft’s MSN/Hotmail en Yahoo hebben niet eens SSL mode. Dat ze SSL gebruiken om in te loggen maakt niets uit, omdat ze na de authenticatie van de gebuiker op de onversleutelde mode terugvallen.
Werkt prima met bijv. Thunderbird..
En, belangrijker, dan werkt dit truukje niet ;)
gaat SMTP daar niet met SSL maar TSL
via Thunderbird. ^^^^^
Nederland is meestal wat later eh, maar omdat ook al op
website's te gaan doen....
alleen daarna de berichten lezen die de gebruiker ook leest en niet zelf
later in de mailbox terugkomen. En die javascriptafhandelingen zullen
waarschijnlijk vaker acties zijn als verwijder dan echte berichten. Meestal
wordt een bericht toch doormiddel van page refresh getoond en niet door
javascript interactie. Volgens mij valt het wel mee, zolang ze de login maar
safe houden.
attack? Of ben ik nou gek? Het gene wat al enkele jaren bekend is? Of je
dat nou op een kabeltje doet of op een wireless netwerk is nou niet echt
een spannend verschil ;)
stelen
al is tegenwoordig het merendeel wel beveiligd.
Gmail heeft geen IMAP, wel SMTP en POP maar geen SSL of TLS
via Thunderbird. ^^^^^
http://www.security.nl/article/17236/1/Google_onthult_gratis_IMAP_voor_Gmail.html
http://mail.google.com/support/bin/answer.py?answer=77662
beta zeg maar
In mijn eigen buurt wel ja, helaas. De mijne is overigens
beveiligd.
dan?
In mijn eigen buurt wel ja, helaas. De mijne is overigens
beveiligd.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?