Hackertool maakt aanvallen HTTPS-sites kinderspel
Internetgebruikers die via HTTPS inloggen moeten extra goed opletten, een nieuwe hackertool maakt het kinderspel om gebruikers te foppen en zo vertrouwelijke informatie te onderscheppen. SSLstrip plaatst zichzelf tussen de gebruiker en de met SSL beveiligde website. Het geeft de website in onversleutelde vorm weer en laat bijvoorbeeld via een aangepast favicon de gebruiker geloven dat het nog steeds om een HTTPS verbinding gaat. Beveiligingsonderzoeker Moxie Marlinspike heeft de tool voor het uitvoeren van de aanval, SSLstrip, nu gratis online gezet. Een donatie wordt echter gewaardeerd. "Als je mijn publicaties waardeert, overweeg dan een donatie. Dat motiveert me om meer te publiceren en voorkomt dat ik mijn spullen aan de Russische mafia probeer te verkopen."
DNS-goeroe Dan Kaminsky maakte een uitgebreide analyse van de aanval, die Marlinspike vorige week demonstreerde, zoals ook op deze video te zien. Tevens is er een interview met Marlinspike online verschenen.
Ze downloaden het nu gratis...
Die laat naast de gewone aanval de gebruiker ook denken dat hij een SSL verbinding met de destination heeft terwijl hij het in weze met mij heeft, waardoor ik zn wachtwoorden etc. uit kan lezen
Die laat naast de gewone aanval de gebruiker ook denken dat hij een SSL verbinding met de destination heeft terwijl hij het in weze met mij heeft, waardoor ik zn wachtwoorden etc. uit kan lezen
Niet helemaal.... er is hier geen https verbinding met jou, maar een http verbinding. Een fake favico (mooi slotje) laat je (iig de minder getrainde gebruikers) denken dat het https is, maar dat is het dus niet. Het voordeel is dan ook dat je geen fake certificaten hoeft te maken.
Maar in de basis is het niet zeer bijzonder nieuw (als je het mij vraagt) en borduurt hij voort op een aantal dingen die hij zelf vroeger heeft gevonden. Wel interessant trouwens
Die laat naast de gewone aanval de gebruiker ook denken dat hij een SSL verbinding met de destination heeft terwijl hij het in weze met mij heeft, waardoor ik zn wachtwoorden etc. uit kan lezen
Niet helemaal.... er is hier geen https verbinding met jou, maar een http verbinding. Een fake favico (mooi slotje) laat je (iig de minder getrainde gebruikers) denken dat het https is, maar dat is het dus niet. Het voordeel is dan ook dat je geen fake certificaten hoeft te maken.
Maar in de basis is het niet zeer bijzonder nieuw (als je het mij vraagt) en borduurt hij voort op een aantal dingen die hij zelf vroeger heeft gevonden. Wel interessant trouwens
Thanks!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
