99% Android-telefoons lekt inloggegevens
Android-gebruikers die via onbeveiligde draadloze netwerken surfen, lopen het risico dat aanvallers er met hun inloggegevens vandoor gaan. Duitse beveiligingsonderzoekers hebben een probleem ontdekt in de manier waarop Android-telefoons gegevens versturen. Sommige applicaties versturen de authenticatie tokens voor het inloggen als platte tekst. Aanvallers kunnen zo via het gratis programma Wireshark deze tokens onderscheppen en zelf gebruiken.
"De aanval lijkt op het stelen van sessiecookies van websites (Sidejacking). De haalbaarheid van Sidejacking tegen bekende websites zoals Facebook en Twitter, is onlangs door de Firesheep plugin gedemonstreerd, die veel aandacht kreeg", aldus de onderzoekers van de Ulm Universiteit.
WiFi-netwerken
In Android 2.3.4 en 3 gebruikt Google inmiddels HTTPS, maar nog niet voor de Picasa app. Het grootste risico lopen gebruikers met Android 2.1 en 2.2 toestellen. "Tot en met Android 2.3.3 versturen de Calendar en Contacts apps gegevens als platte tekst via HTTP en zijn daardoor kwetsbaar voor de authToken-aanval. Dit treft 99,7% van alle Android smartphones", zo laten de onderzoekers weten. "vanaf Android 2.3.4, gebruiken de Calendar en Contacts apps een veilige HTTPS-verbinding. De Picasa synchronisatie gebruikt nog steeds HTTP en is dus kwetsbaar."
De onderzoekers adviseren gebruikers dan ook om naar Android 2.3.4 te upgraden. In veel gevallen is een update echter niet beschikbaar. In dat geval kan men de automatische synchronisatie feature uitschakelen. "De beste bescherming op het moment is het vermijden van open draadloze netwerken bij het gebruik van de kwetsbare apps."
Laten we eerst eens beginnen met eindgebruikers ervan bewust te maken dat een onbeveiligd netwerk niet verstandig is, daarna om alleen via https/pop3s/imaps enzovoorts gebruikersnamen en wachtwoorden te versturen.
Als daarnaast ook nog eens goed wordt gewerkt aan cliënt/server beveiliging zijn we nog een stukje verder.
Wat ik overigens wel knap vind is dat er toch gegevens als platte tekst via HTTPS worden verstuurd, dat is (op zijn zachtst gezegd) niet netjes en duidelijk een programmeerfoutje.
Laten we gebruik maken van een beveiligde verbinding, waarover we niet beveiligde informatie gaan sturen, dat is makkelijker zucht.
https://www.blackvpn.com/support/android/
Als ik surf doe ik dat alleen via mijn eigen beveiligde wifi-netwerk.
1 of andere "specialist" uit het kabinet zal wel zeggen: "Wireshark verbieden, probleem opgelost."
Mogelijk, Ik heb thuis een openvpn server, door die tunnel connect ik naar mn torrentserver (ter bediening). Maar met een configfile regeltje in je server kan je ook al het verkeer erdoorheen tunnellen. Door gebruik te maken van UDP (wat standaard zo is) blijft je dataconnectie waarschijnlijk ook niet constant open en is de battery-drain minimaal. Werkt zoiezo op android 2.3
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
