LinkedIn cookie kwetsbaar voor WiFi-hackers
De manier waarop sociale netwerksite LinkedIn cookies verstuurt, zorgt ervoor dat aanvallers op draadloze netwerken accounts van gebruikers kunnen overnemen. LinkedIn laat gebruikers via HTTPS inloggen, maar er bestaan meerdere beveiligingslekken in de manier waarop de websites cookie over SSL verstuurt. Het probleem zorgt ervoor dat een aanvaller accounts kan kapen of informatie kan wijzigen, zonder toestemming van de gebruiker, aldus onderzoeker Rishi Narang.
Verloopdatum
Narang ontdekte twee problemen met de manier waarop LinkedIn de cookies verwerkt. Zo blijkt het SSL cookie geen 'secure flag' te gebruiken. Dat betekent dat alle cookies als platte tekst over een onversleuteld communicatiekanaal beschikbaar zijn. Als de secure flag voor een cookie is ingesteld, dan zal de browser het cookie niet over het onversleutelde HTTP versturen. Een aanvaller op een open draadloos netwerk kan zodoende de cookies niet onderscheppen. Dat kan wel als de secure flag niet is ingesteld. De gebruiker moet dan wel een HTTP URL bezoeken die binnen het bereik van de cookie valt.
Het tweede probleem dat de onderzoeker ontdekte, is dat het cookie voor een geauthenticeerde sessie nog steeds beschikbaar is, ook al is de sessie afgesloten of de verloopdatum voorbij is. Een aanvaller zou de cookies van een 'clear-text sessie' kunnen onderscheppen om vervolgens zijn eigen sessie te authenticeren. Narang wist via maanden oude cookies op de accounts van verschillende gebruikers in te loggen. "Ze waren deze maanden vele keren in- en uitgelogd, maar hun cookie was nog steeds geldig."
Firesheep
Hij waarschuwt met name gebruikers van open draadloze netwerken om voorzichtig te zijn. Een aanvaller zou via de Firefox plugin Firesheep eenvoudig de informatie kunnen onderscheppen om vervolgens zelf in te loggen. "En ook al wijzig je het wachtwoord en alle instellingen, het cookie is nog steeds geldig en geeft de aanvaller nog steeds toegang tot je account wanneer hij wil."
Narag heeft een script online gezet dat de status van LinkedIn-gebruikers aanpast.
A: HTTPS cookie hijacking happens when a site sets sensitive cookies (e.g. those identifying authenticated sessions) over HTTPS connections but "forgets" to flag them as "Secure". This means that subsequent unencrypted (non-HTTPS) requests for the same site will leak the session cookies away, even if you logged in securely. NoScript provides means to mitigate this issue, configurable in NoScript Options|Advanced|HTTPS|Cookies. If Enable Automatic Secure Cookies Management is checked, NoScript will try to "patch" insecure cookies set by HTTPS sites on the fly:
1. If the site matches the "Ignore unsafe cookies..." pattern list, NoScript lets its cookies pass through untouched
2. If the site matches the "Force encryption for all the cookies..." pattern list, NoScript appends a ";Secure" flag to every non-secure cookie set by this response
3. Otherwise, NoScript just logs unsafe cookies BUT if no secure cookie is set in a HTTPS transaction setting other (unsafe) cookies, NoScript patches all these cookies with ";Secure" like in #2. However, if a navigation from an encrypted to a non-encrypted part of the same site (i.e. sharing the same cookies) happens in the same tab, NoScript removes its ";Secure" patch to ensure compatibility. When it happens, this event is logged to the Error Console, along with a recommendation to try forcing HTTPS by listing this site in the HTTPS|Behavior|Force section.
Aanvallers op ieder netwerk die verkeer kunnen sniffen kunnen op deze manier accounts overnemen, bekabeld danwel draadloos.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
