Een beveiligingsonderzoeker heeft een tool ontwikkeld waarmee het mogelijk is om cookies van allerlei soorten netwerken te kapen. De Cookie Cadger tool is het werk van Matthew Sullivan en werd afgelopen weekend tijdens Derbycon onthuld. Cookie Cadger is een grafische pentest-tool die de 'kracht' van Wireshark en Java gebruikt om een volledige open source, cross-platform tool te bieden die bedraad ethernet en onbeveiligde WiFi-verbindingen kan monitoren en opgevangen pakketjes voor offline analyse kan laden. In 2010 verscheen de Firefox plug-in FireSheep, die aantoonde hoe onveilig het is als websites niet voor de gehele sessie HTTPS gebruiken. Veel websites laten gebruikers wel via HTTPS inloggen, maar schakelen daarna voor al het overige verkeer terug naar HTTP.
Een aanvaller op bijvoorbeeld een open WiFi-netwerk kan de HTTP-pakketjes opvangen en zo de sessie van de gebruiker overnemen. In de HTTP-cookies staat namelijk dat de gebruiker is ingelogd.
Speeltje
FireSheep was volgens Sullivan instabiel en heeft niet meer goed sinds Firefox 3.6 gewerkt. Wel heeft het ervoor gezorgd dat grote sites als Twitter en Facebook gebruikers aanbieden om al het verkeer over HTTPS te laten lopen. "Dit is echter niet genoeg, webapplicaties moeten de verantwoordelijkheid voor de veiligheid van hun gebruikers nemen. Het is tijd dat alle gebruikers standaard SSL/TLS gaan gebruiken."
Cookie Cadger is volgens Sullivan geen speeltje, maar een echte pent test-tool, waarmee lekke applicaties zijn te testen, maar het ook mogelijk is om mensen te 'pwnen' en te laten zien dat open WiFi geen goed idee is. De broncode mag dan openbaar zijn, de tool kost tot 30 oktober 10 dollar. Het volledige aankoopbedrag gaat naar de liefdadigheidsinstelling Hackers for Charity.
bron: security.nl