Snelheidsbeperkingen en datalimieten van telco's leiden gebruikers naar openbare WiFi-netwerken. Maar pas op: nepnetwerken luisteren logins af. Hoe val je niet voor malafide WiFi.
Enerzijds zijn draadloze verbindingen via lokale draadloze netwerken een uitkomst. Anderzijds vormen ze een risico. Het gevaar van WiFi-netwerken van onbekende derden is niet nieuw, maar wel groeiende. Dat komt mede door het groeiende aantal gebruikers dat een snelle, mobiele internetverbinding zoekt. Bijvoorbeeld op Schiphol, of op andere locaties met een hoge dichtheid aan smartphone- en tabletgebruikers. Zoals het festival SXSW (South by south west).
Praktijkdemonstratie
Op die jaarlijkse conferentie voor en over interactieve content, muziek en film, zijn dit jaar vele draadloze verbindingen van gebruikers onderschept. Een van de sprekers bewees daarmee in de praktijk zijn punt over het risico van WiFi. De onderschepping werd gedaan met een namaak WiFi access point, waarmee al het draadloze verkeer kan worden afgeluisterd. Spreker Darren Kitchen heeft zijn 'slachtoffers' echter slechts omgeleid, naar de beroemde Nyan Cat-animatie.
Vele SXSW-bezoekers kregen dus niet hun Foursquare check-in, hun Twitter-feed, hun mail-account of hun VPN-verbinding met het bedrijfsnetwerk voorgeschoteld. Ook simpel websurfen leverde de vliegende cartoon-kat op.
Geen besef
"Tijdens de demo was de helft van mijn publiek verbonden met mijn WiFi router", vertelt hacker Kitchen aan ict-nieuwssite Cnet. "Niemand hier heeft ook maar enig besef van security." Dat gebrek aan besef geldt niet alleen voor bezoekers van dit multimediafestival in Texas, maar in de brede zin voor gewone consumenten die steeds meer mobiel zijn en meer mobiel doen.
Smartphones en tablets bevatten steeds meer gevoelige log-ins voor waardevolle online-diensten. Een eenvoudig op te zetten nep-WiFi access point kan de log-ins en het internetverkeer zó onderscheppen. Het gaat dan wel om open WiFi-netwerken.
'Goedgelovige' apparaten
Bijkomend probleem is dat de draadloze apparaten 'goedgelovig' zijn. Na een eenmaal gelegde verbinding met een WiFi-router, goedgekeurd door gebruiker, wordt die onthouden door smartphones, tablets en laptops. Als deze apparaten dat netwerk opnieuw tegenkomen, maken ze weer automatisch verbinding. Dat gebeurt ook als het een andere router is, maar met dezelfde netwerknaam (SSID). Denk aan 'KPN Hotspot', 'Linksys default' en dergelijke standaardnamen die op veel verschillende plekken voorkomen.
Soms heeft zo'n openbaar netwerk nog wel een eigen inlog-pagina vóór de gewenste internettoegang, maar de WiFi-connectie is dan al wel gemaakt. Dit betekent dus ook automatische verbinding met een nep-WiFi-router die sluw de naam heeft van een veelgebruikt open WiFi-netwerk. Zoals 'attwifi' voor de social media-guru's op SXSW.
Huis-, tuin- en keukensnifferSpreker Darren Kitchen waarschuwt niet alleen voor dit gevaar, hij levert het ook. Via zijn site Hak5.org verkoopt hij de Wifi Pineapple Mark IV: een compleet draadloos access point maar dan uitgerust met afluistertools. Deze goedkope nep-WiFi-router heeft twee Ethernet-verbindingen, aansluitmogelijkheden voor een 3G- en 4G-modem en is op afstand uit te lezen. Het afluisteren gebeurt dus ook draadloos, terwijl het omgeleide verkeer gewoon wordt doorgesluisd naar de eigenlijke bestemming, zodat de slachtoffers niets in de gaten hebben.
De Pineapple is niet alleen verkrijgbaar als verdacht zwart kastje met Jasager-sticker (The Yes Man), maar ook als anoniem aluminium doosje met magneten om de WiFi-onderschepper ongezien ergens op te hangen. Die stiekeme uitvoering heeft een ingebouwde batterij die het 30 uur uithoudt. Bovendien is Kitchens Pineapple lang niet het enige verkrijgbare apparaat dat dit kan.
TegenmaatregelenWat te doen tegen dit onzichtbare gevaar? Eindgebruikers kunnen zichzelf wel degelijk beschermen. Afhankelijk van hun technisch inzicht zijn er opeenvolgende stappen. De simpelste bescherming is gelijk de meest radicale: gebruik geen WiFi, schakel het echt uit in het mobiele apparaat. Een meer praktische bescherming is het bewust niet gebruiken van open WiFi-netwerken, ook niet als die vertrouwd lijken te zijn.
Een volgende tegenmaatregel is het beveiligen van het eigen draadloze netwerkverkeer, via een VPN (virtual private network) of door alleen SSL-verbindingen te leggen. Daarmee zijn open WiFi-netwerken wel met enige mate van veiligheid te gebruiken.
WiFi-hacker Kitchen waarschuwt en demonstreert op SXSW echter dat VPN-verbindingen zijn te frustreren met vervalste WiFi-frames. Het uitvallen van de beveiligde verbinding kan gebruikers ertoe aanzetten om 'dan maar zonder' te doen, waarmee ze direct weer af te luisteren zijn. Een maatregel ter WiFi-bescherming die hoe dan ook aanbeveling verdient, is het niet laten onthouden van eerdere veilige gebruikte - of veilig geachte - draadloze netwerken.
In kaart brengen
Techsite Cnet noemt nog een optimistische beschermingsoptie: leveranciers een voorziening laten bieden die WiFi-netwerken controleert op bijvoorbeeld geolocatie. Daarvoor is dan wel een internetverbinding nodig, bijvoorbeeld via 3G, naast een industriebrede samenwerking en massale indexering van WiFi-routers. Dat laatste is al wel in uitvoering, door bijvoorbeeld Google met zijn Street View-auto's en ook Android-smartphones, maar ook door een gespecialiseerd locatiebedrijf als Skyhook.
Bron: webwereld.nl