Varnost uporabe javnega WiFi omrežja

Odvisno od tega, katere aplikacije uporabljas oz. kater komunikacijski protokol aplikacije uporabljajo. HTTPS bo dovolj za spletni promet. Enkripcija se vrši v brskalniku, dekripcija pa strežniku. Celoten vmesni kanal (tvoj telelefon - wifi točka - povezava do ispja - .... vse vmes .... - strežnik) pa vidi šifrirane pakete. Tako da -- ja, načeloma si varen. Je pa še množica drugih podatkov, ki jih tvoj laptop/telefon oddaja wifi točki, pa niso kriptirana.

Zato ne smeš ignorirat sporočil o neveljavnem certifikatu.

Matthai, resno? Veljavni 90-dnevni certifikat za poljubno domeno, brez da bi preverili resničnost podatkov na certifikatu!? Težko verjamem. Če je to res, potem se je treba zelo glasno oglasit, da se Comodo odstrani iz vseh (99.3%) browserjev.

Če se še kratko vrnemo k primeru v prvem postu. Tudi če Matthai poskusi napad MITM, bo TLS, kjer se overita oba, strežnik in odjemalec, kot je npr. pri NLB Kliku, še vseeno zaznal, da Matthai ni tisti pravi NLB strežnik in bo TLS handshake spodletel. V primerih, ko se overi zgolj strežnik, denimo Gmail, pa bi napad lahko uspel.

Kako zagotoviti, da mi lastnik WiFi omrežja ali kdo drug ne bo mogel pregledovati prometa ali ukrasti gesla?

VPN.

Zanimivo da ravno comodo ponuja tudi rešitev za take probleme
klik
Naključje?

Pyr0Beast je 19. maj 2010 ob 01:46 izjavil:

Sam imam odprt wifi in se niti ne bunim, kaj se gor dogaja. Občasno pogledam 'imena' kompov in to je to.
Za snifati promet sem pa preprosto prelen. :)

Če sem prov razumel, potem bi bi bil z veseljem tvoj sosed. Ti res noben ne zabaše linije?

Kako hitro linijo pa imaš če smem prašat?

Sam HTTPS ni dovolj za varnost v neznanem omrežju. Pomembnja je tudi moč zaščite tvojega računalnika. Primer1: V omrežju, kamor prideš, ima nekdo že črva, ki se širi preko shareov, ti pa jih imaš odprte. Primer2: Ko prideš na omrežje, te le-to najprej usmeri na eno spletno stran (ta pa je recimo okužena z nečem, kar zrajca tvoj vedno luknjavi Flash Player).

Ko je računalnik enkrat okužen, pa je stvar domišljije in HTTPS pomeni samo še res majhno oviro.

Še vedno ne rešiš problema, da so ti v omrežju, v katerem "gostuješ" lahko poklobrali delovno postajo, s katero gostuješ (ga pa lahko z neprimerno postavitvijo tunela ali VPN preneseš še v svoje omrežje).

To je res. Samo izhajam iz predpostavke, da sem kot zlobni wi-fi lastnik uspešno namestil poljubno programje na tvoj računalnik, preden si uspel vzpostaviti povezavo.

Ali v tem primeru tvoja trditev (še) drži?

Vprašanje je bilo, če se s svojim računalnikom pripneš v katerikoli javni WiHi. IMHO samo varna komunikacija (HTTPS, SSH,...) ni dovolj, ampak mora biti računalnik tudi primerno zaščiten pred raznimi vdori. Če ni, ti tudi SSH ne pomaga.

Se mnotim?

Kaj pa, če ti ob prijavi v moj WiHi zahtevam še obisk (okužene) spletne strani, kjer izkoristim luknjo v enem izmed programov?

Preko VPN-ja je to bolj težka.

Ena malo offtopic, zakaj na nastavitvah od ruterja prikaže kateri dns serverji se uporabljajo, če usak uporabnik na svojem pcju lahko določi svoje? Ali se motim?
Prosim upoštevajte da nisem ravno na vašem nivoju

Hvala

@Matthai

Imaš prav. Če takoj po povezavi v WiFi poskrbiš, da narediš full GW VPN ali SSH za HTTP na svoje so možnosti za uspešen napad precej zmanjšane (ne trdim, da ni mogoče, ker ne vem). Paziti pa moraš, da s svojega klienta ne narediš niti enega nekodiranega HTTP preko brskalnika, katerega promet ne bi šel preko tvojega VPN.

Usmerjevalnik Draytek Vigor 2910n ima opcijo, da ti prvi HTTP request, ki pride s klienta na WiFi usmeri na stran, ki jo je predvidel Vigorjev admin. To naredi tako (hvala Wireshark), da - namesto vsebine, ki jo je vrnila stran, katero je klient zahteval - vrne 302 z lokacijo preusmeritve. Rekel bi, da DNS tu ne igra vloge, saj v vsakem primeru vrne URL nove strani, za katerega je vseeno, kateri DNS ga obdela (recimo, da ni nek OpenDNS, ki blokira znane zoprne strani).

Način je seveda občutljiv na druge aplikacije. Vigor ne more vedeti, ali je HTTP request prišel od nekega brskalnika z uporabniškim vmesnikom ali pa od enega programa, ki preko HTTP preverja za svoj update takoj pri startu in ga redirect v bistvu ne briga. Rešitev s prvo stranjo na HTTPS se mi preko Nokie (Opera Mobile; telefon nima drugih programov za http) ni obnesla, saj sem ob prvi HTTP strani še vedno dobil vsiljeno stran, pri povezavi na HTTPS pa napako.

Bi rabil še malo wiresharkanja, da bi dobil boljši vpogled. Vsekakor pa ne dam Windows računalnika brez vseh nadgradenj in NoScript v neznano omrežje, pa četudi potem takoj VPN.

@Hexx

Variante doma:

1. Usmerjevalnik je lahko sam tak DNS in računalniku ob pridobitvi IP samo pove, da on odgovarja na vsa vprašanja. Računalnik v tem primeru vprašanje vedno naslovi na usmerjevalnik, ta pa se potem trudi naprej.
2. Usmerjevalnik lahko računalniku ob pridobitvi IP naslova pove, koga naj vnaprej sprašuje za razrešitev imena (npr. DNS pri ponudniku) in računalnik potem vedno samostojno sprašuje tistega, za katerega je usmerjevalnik povedal, da je odgovoren za reševanje.
3. Računalnik ima lahko svoje podatke o DNS in se ne ozira na tiste, ki jih da usmerjevalnik. Spet sprašuje tiste, za katere ima podatke.

V vsakem primeru pa potem tisti DNS, ki jih računalnik vpraša, iščejo naprej. Posamezen DNS namreč nima vedno pri sebi vseh imen in naslovov v Internetu, zna pa vprašati.

Plus - ponavadi je dobro, da se ssh-jaš na IP naslov, ne na DNS hostname.

Ima pa Ubuntu eno pomanjkljivost - če mi vmes pade VPN povezava, me ne odklopi od interneta, ampak naredi "safe" fallback na nezaščiteno povezavo (no, vsaj v starejših verzijah je bilo tako, v 10.04 še nisem preizkušal).

Jaja, ampak jaz konkretno uporabljam OpenVPN... ki je v osnovi SSL/TLS in laufa na portu 443 (https). In za to blokirat se je treba malo bolj poglobiti.

S tem blokiraš tudi svoje verjetno želene seje. Ne pozabi, da smo se pogovarjali o ODPRTEM omrežju, kjer je malone trivialno ugotoviti, kateri IPji visijo v zraku (namreč, pomislil sem, da bi samo določenim zaprl pot ven, svojim pa pustil).

Seveda pa je varianta, da je nastavljen Honeypot, kjer svojih računalnikov nimaš in dovoliš samo HTTP ven. Ta pametni bodo šli takoj proč, ostale pa (u)loviš. HTTPS iz prvega vprašanja (ali ni preveč nevarno hoditi na banko) seveda odpade.

gokky je 24. maj 2010 ob 22:45 izjavil:

1. Usmerjevalnik je lahko sam tak DNS in računalniku ob pridobitvi IP samo pove, da on odgovarja na vsa vprašanja. Računalnik v tem primeru vprašanje vedno naslovi na usmerjevalnik, ta pa se potem trudi naprej.

hmm.. če sem prav razumel, lahko potem ima nekdo na svojem ruterju dns server, določi da google.com ne bo ta pravi googlov ip ampak neka okužena stran? Je to tako?

Pa se to dejansko dogaja ali je to samo teorija?

poweroff je 25. maj 2010 ob 15:52 izjavil:

Ja, ampak potem blokiraš ves https promet... tega pa načeloma nočeš... oziroma, če si daš že toliko opravka - zakaj ne daš WPA enkripcije gor?

In kaj če prestavim svoj VPN na port 80?

Osnovno vprašanje je bilo: "Ali je varno brskati po odprtih WiFi omrežjih?".

Poskusil sem se postaviti v kožo zlobneža, ki naredi javno WiFi omrežje, da bi s tem naredil neko škodo (nisem si definiral kakšno) ali prišel do informacij,.... Verjetno bi del "publike" izpustil, ker je pretrd oreh.

In če se vprašam, zakaj se kdo tega bolj resno ne loti, mi je prvi odgovor, ker WiFi ne prinese dovolj potencialnih strank, saj je lokacijsko omejen, pa še skriti se ne morem.