"Hotspots KPN zo lek als een mandje"
De hotspots van KPN zijn niet voldoende beveiligd, zo meldt de Volkskrant vandaag. Een 18-jarige scholier liet de krant zien hoe een man-in-the-middle aanval werkt, waardoor het eenvoudig is om wachtwoorden en inloggegevens van WiFi-gebruikers te achterhalen. Ook van met SSL beveiligde websites.
Toch is de "ontdekking" niet zo bijzonder, man-in-the-middle aanvallen op WiFi-netwerken zijn al zeer lang mogelijk. Daarnaast werden er begin 2009 ook al problemen met de WiFi-routers van KPN aangetoond. Net als toen waarschuwt de KPN gebruikers nog altijd dat ze beter een VPN kunnen gebruiken. De woordvoerder erkent dat die waarschuwing niet duidelijk vermeld staat. "We zullen kijken of we die waarschuwing prominenter moeten plaatsen."
Wat betreft het onderscheppen van SSL-verkeer is dat volgens de woordvoerder geen zaak van de KPN. "Het feit dat beveiligde https-websites omgezet kunnen worden in niet-beveiligde http-sites is een veiligheidsprobleem van die websites. Wij gaan niet betalen om dat probleem op te lossen." Vermoedelijk gebruikte de tiener voor de aanvallen SSLstrip en/of SSLsniff.
Of datzelfde type gebruiker (lees: een overgrote meerderheid van de internetters) zo slim is om, bij gebruik van een VPN, na te gaan of dat wel secure gebeurt, is natuurlijk ook zeer de vraag.
[*]Voor zover er nog zoiets bestaat als een veilig WiFi netwerk.
Om maar niet te spreken over de kundigheid van de gemiddelde klikkerdeklikklik internetter.
Iedereen kan op zijn vingers natellen dat een onbeveiligd openbaar netwerk an sich niet veilig is. Maar de meeste mensen hebben niet eens door dat hun username en password bij het ophalen van de pop-mail vrolijk cleartext door de lucht vliegen., laat staan dat ze https-slotjes en groene/gele/danwel rode balken in de browser snappen.
Om de discussie aan te zwengelen, en misschien off-topic: Toch maar een soort van digitaal rijbewijs invoeren op termijn om het volk iets wijzer te maken? Liefst op de basisschool al mee beginnen.
(Zat vanavond in de file naar Radio 1 te luisteren, heeft de presentator van WNL Avondspits het hierover en spreekt consequent van hakkers i.p.v. hackers...)
KPN weer de gebeten hond (KPN maakt zelf geen Access Points maar ala iemand moet aan de schandpaal).
Jongetje weer een goed verhaal voor bij de meisjes, gegarandeerd 10 wippies.
Morgen zit er weer iemand met een WebScarab in een kroeg Twitter en Facebook Acounts te stelen krijgen we daar weer een "verbazingwekkend" verhaal over.
Heren kijk hier even voor je laatste info , tools en testsites dan loop je weer lekker voor op iedereen
http://www.owasp.org/index.php/Phoenix/Tools
Fijne avond weer, bedankt voor al jullie reacties, ik ga maar even een scherpje verderop kijken, de TV !
groet Syzygy
Wat is dit nu weer voor reactie ?, als ik het GSM verkeer kan ontvangen en afluisteren dan is het het probleem van de gene die ik bel ? Hmmmmm. Volgens mij is hun kanaal onveilig en bied de moegelijkheid dat dit kan. en kunnen SSL beveiligde web site zich niet tegen verdedigen. Maar als KPN al zegt dat je een VPN moet gebruiken, waarom leveren ze deze service dan niet gratis, een open VPN doosje?
Volgens mij is er ook een optie in veel accesspoints dat de individueele endpoints niet met elkaar mogen communiceren.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
