Comprender el riesgo de los formularios de inicio de sesión que no son SSL

Question

Como usuario de aplicaciones web, tiendo a suscribirme solo a servicios que usan formularios de inicio de sesión SSL protegidos. Como desarrollador, sé que el riesgo es que los formularios que no sean SSL se transmitan en texto plano y una persona inescrupulosa podría "olfatear" el tráfico HTTP y verificar mi nombre de usuario y contraseña.

Sin embargo, ¿cuál es el verdadero riesgo o posibilidad de que esto ocurra si me refiero, en mi casa, a mi conexión a Internet DSL o por cable? ¿Dónde debería estar funcionando el sniffer de paquetes? ¿Podrían ser olfateados los paquetes en cualquier punto del servidor? ¿Es más fácil "olfatear paquetes" en una red corporativa con una LAN más grande, en lugar de estar en casa?

He desarrollado aplicaciones web desde hace bastante tiempo, pero nunca he entendido esto realmente. Me encantaría obtener alguna aclaración sobre esto.

Gracias.

Answer 1

El riesgo de que su tráfico sea detectado en un nodo entre su ISP y el destino es remoto. Sería uno entre millones y se necesita una cantidad no trivial de potencia de procesamiento a ese nivel para realizar la inspección de paquetes para identificar los paquetes que llevan la información de inicio de sesión.

El riesgo real es en la red local, como se ha señalado. Los 2 escenarios más comunes son:

1. un equipo infectado o usuario malicioso emplea trucos como el envenenamiento ARP para oler todo el tráfico sin cifrar. La intoxicación por ARP es bastante imperceptible en redes de poco tráfico. En redes de alto tráfico, causará una degradación notable del rendimiento y aumentará la probabilidad de detección. La eficacia de la intoxicación ARP puede reducirse mediante una división de red diligente.

2. Alguien tiene el control de la puerta de enlace. Este es probablemente el peor escenario, ya que todo el tráfico de Internet pasa por la puerta de enlace. Dependiendo de qué tan inteligente sea el atacante, esto puede ser muy difícil de detectar.

guardias SSL contra la inhalación, y que tiene otra ventaja que podría no ser consciente de: SSL le permite estar seguro de la entidad que recibe sus contraseñas y otros detalles es que usted piensa que es.

Si dices que fuiste víctima de un envenenamiento de DNS donde alguien te redirige a un sitio malicioso que se ve exactamente como el sitio web legítimo, no tendrías forma de saberlo. Con SSL obtendrías una advertencia/error de que el sitio no tiene un certificado válido que te avise que no todo está como debería.

Personalmente adapto mis contraseñas a si la información viaja a través de HTTPS o no. Lo hago porque es inevitable que eventualmente necesite iniciar sesión a través de HTTP en una red que no es de confianza.

Answer 2

El cable es bastante fácil de olfatear paquetes ya que es un medio de difusión compartido. Redes de trabajo, no tanto. Típicamente conmutada, alguien tendría que dirigirse específicamente a usted (o hacer una configuración general de monitoreo del puerto) para olfatear su tráfico. DSL es directo al ISP, entonces no tanto allí. Una vez que está en la red, las posibilidades realistas de que alguien lo robe son muy bajas. Las cuentas casi siempre se roban pirateando una base de datos o robando información de una red inalámbrica no segura. Y de esos 2, piratear la base de datos tiene directamente la mejor relación riesgo/recompensa, por lo que es la más popular.

Answer 3

• "Sin embargo, ¿cuál es el verdadero riesgo o la posibilidad de que esto ocurra": depende de muchos factores. El más grande sería el sitio que está utilizando, la banca sería superior a decir StackOverflow.
• "Dónde debería estar ejecutando el sniffer de paquetes": podría estar en cualquier nodo en el que se ejecuten los datos (incluido el malware en su máquina). Para ver la cantidad de nodos, un simple traceroute te mostrará.
• "Podría ser inhalados paquetes en cualquier punto de vuelta al servidor ': Sí
• ' ¿Es más fácil 'paquetes oler' en una red corporativa con una LAN grande, en lugar de estar en casa" : No, los requisitos son los mismos. Obtenga el control de un nodo por el que se mueven los paquetes y agregue un sniffer.

Answer 4

paquetes no viajan mágicamente directamente de su red al servidor. los paquetes generalmente atravesarán una cantidad de redes diferentes antes de llegar a su destino final. en cualquier punto de la cadena alguien podría estar capturando tráfico.

Answer 5

En realidad, dependiendo de la configuración de su red, es posible que corra un mayor riesgo en su casa, ya que la gente cuida. Si su red tiene seguridad y la del vecino no, el riesgo es mucho, mucho menor, por supuesto.

Cada vez que alguien puede obtener un oyente entre usted y el destino, ya sea en su red doméstica o en alguna red grande, puede oler.

El riesgo, en general, es bastante bajo, ya que no cualquiera puede oler en cualquier enrutador. Pero no usar SSL significa que confías mucho en personas que no conoces.

Lo trato de esta manera. Si un sitio tiene algo que quiero, pero no SSL, lo haré si no se pasa información financiera. En estos sitios, utilizo un correo electrónico "spamcatcher". Si se olfatea la cuenta, no hay daños importantes, ya que va a un correo electrónico que rara vez verifico.:-)

Answer 6

Es cada vez más fácil olfatear paquetes en su red. Entonces WLAN ofrece mucho peligro. Si hay otra computadora conectada a su conmutador/enrutador, puede olfatear los paquetes manipulando la funcionalidad del enrutador/conmutador (ARP Spoofing/Poisioning), consulte: link text.

¡Una persona que huele en la WAN tiene que hacer mucho más trabajo! Por lo tanto, su IP debe conocerse y el atacante debe manipular un nodo en el camino de sus paquetes para detectar paquetes desde allí.

Answer 7

creo que es debido a que:

1. No se puede controlar donde su usuario acceder a su sistema de
2. No se puede estar seguro de su ISP no olerá su paquete. (¿Qué pasa si algún hacker malvado había logrado hacer eso)

Es sólo Internet. No hay mucho que puedas hacer con los demás. La mejor manera es asegurarte.

Answer 8

El paquete se puede detectar absolutamente en cualquier lugar de la ruta entre el cliente y el servidor. El atacante solo necesita obtener acceso físico a una de esas redes.

Obviamente, cuanto más cerca esté de un 'baúl' (ISP) en lugar de una 'hoja' (enrutador doméstico, computadora doméstica), más cosas podrá olfatear.

Con DNS spoofing, un atacante puede modificar esa ruta para que pase a través de un sistema que controlan.

Posiblemente la forma más fácil de familiarizarse con esto es probarlo por ti mismo. Instale Wireshark, y vea qué fácil es mirar cosas que pasan.

Answer 9

Ejecutar traceroute. Literalmente, cada interfaz o enrutador entre usted y el destino puede capturar sus paquetes.

Comenzando con su propia computadora ejecutando un sniffer de paquetes sin su conocimiento, tal vez como resultado de una infección.

Answer 10

Si está desarrollando un sitio web para uso público, también debe tener en cuenta que todo el tráfico no SSL a una región podría ser inspeccionado o modificado por un estado-nación o una importante empresa de telecomunicaciones.

Considere informes en enero de 2011, que el gobierno de Túnez está realizando una inyección de JavaScript en las visitas no cifrados a la página de inicio de sesión de Facebook: https://www.eff.org/deeplinks/2011/01/eff-calls-immediate-action-defend-tunisian

páginas que incluyen un formulario de acceso siempre debe ser entregado a través de SSL, y la acción de destino del formulario también debe usar SIEMPRE SSL. Para cualquier cosa que no sean sitios de juguetes destinados al consumo personal, cualquier cosa menos es irresponsable.

Answer 11

Las personas pasan por alto el hecho de que es muy fácil capturar sus datos a través de wifi. CUALQUIER usuario en la misma red wifi que pueda capturar sus paquetes a medida que viaja hacia/desde el punto de acceso. Muchas herramientas permiten a los hackers aficionados hacer esto.

SSL encripta los datos, por lo tanto, aunque la persona a tu lado en la cafetería puede capturar y almacenar tus datos, está encriptada gracias a SSL y es básicamente inútil para el hacker. Sin SSL, su nombre de usuario, contraseñas, información de tarjeta de crédito, etc. es texto plano y es tan fácil de leer como esta publicación.