PplWare Mobile

Ainda se usam as redes wifi abertas sem qualquer precaução

                                    
                                

Este artigo tem mais de um ano


Autor: Pedro Simões


  1. Telmo M. says:

    Sugestões para quem precisa mesmo de usar uma rede aberta, mas quer estar, dentro do possível, (minimamente) seguro?

    Eu suponho que no top estará o uso de aplicações ou sites bancários.
    No entanto se não for seguro utilizar aplicações/sites com as nossas credenciais, só devemos (no máximo) usar redes publicas para uma pesquisa rápida no google? (Até este tem a minha sessão iniciada :s )

  2. tuga says:

    se usarem encriptação no tráfego não há problema nenhum…

    • Lg says:

      Como se faz isso?

      • Sérgio S says:

        Exactamente. O sslstrip recebe o certificado ssl do site que a vitima está a aceder e substitui-o pelo seu. O pc da vitima envia os dados através do computador atacante e não se apercebe.

        • DavidOff says:

          Mas isso é aplicável em telemóveis?

        • Ricardo Moura says:

          Errado, o SSLStrip não funciona assim. isso é como funciona o mitm convencional, e por isso é que surgiu o sslstip. Não há qualquer troca de certificados e é por isso que não vês nenhum aviso no browser. O que o sslstrip faz é “reescrever” as respostas vindas do servidor para o cliente substituindo todos os links começados por https por http. Para isto funcionar o servidor de destino tem de aceitar obviamente ligações http, pelo que se apenas aceitar https o sslstrip não funciona. A maioria dos browsers actualmente também já alerta para o facto das ligações serem apenas http, por isso menos mal, penso que o sslstrip tem os dias contados.

          • Pedro Oliveira says:

            Podes controlar isso a nível de aplicação com http headers (HTTP Strict Transport Security (HSTS)). o sll strip não deveria ser um problema.

      • int3 says:

        SSLBump também mas é difcil mas é bastante usado por antivirus nas firewalls de forma a filtrar o conteúdo encriptado 😉

        • Pedro Oliveira says:

          Isso só e possível se aceitares uma CA não fidedigna. Se não alterares as CAs de origem do teu browser/dispositivo não estas vulnerável, nem os antivírus podem analizar o tráfego. O que muitos gestores de sistemas fazem (incorrectamente) é adicionar uma CA ao domínio (e instalar la automaticamente em todos os equipamentos que se autenticam no domínio) para desencriptar o tráfico. Esta é a solução mais insegura de todas porque um acesso de admin no teu domínio pode fazer com que o atacante tenha acesso ao tráfico ssl de todos os clientes do domínio.

      • Pedro Oliveira says:

        o ssl strip so funciona se a aplicação web estiver mal configurada, podes implementar controlos nos cabeçalhos http e na própria aplicação que não permitirão que o browser se conecte em http.

  3. pedro miguel says:

    Usar VPN ajuda mesmo em alguma coisa?
    Eu uso WiFi públicas sempre, mas as do autocarro e comboio.

  4. Jorge says:

    E quanto à Fon ZON? É segura?

    • rjSampaio says:

      em teoria sim, mas na pratica nao
      eu posso ter um router com nome FonZON (ou la o que é o SSID) e assim o teu telemovel por exemplo ligace logo ao meu router “falso”, pedes para ir ao facebook, e eu tenho o meu proprio dns para te mostrar uma pagina falsa, que guarda logo o teu user e password.

      Basicamente é o mesmo que um ap normal, neste caso, o testado foi um aeroporto, mas é o mesmo que dizer cybercafes, FON, MEO publico etc etc

      Alias, sé nao é teu, pode estar comprometido.

  5. César says:

    Bom bom era o pplware também ter dado dicas de segurança no artigo ou pelo menos ter dito o que não se deve fazer nas redes públicas.

    Por exemplo, eu tenho a sessão iniciada no gmail no meu smartphone como é óbvio. Se não aceder a aplicação do gmail ou ao website, os atacantes ainda conseguem saber o conteúdo dos meus emails?

    Se usar uma ligação HTTPS será que ainda é possível eles saberem o que pesquiso e que páginas visito?

    O que é que eles conseguem aceder em concreto? Só ao que faço na internet ou também ao conteúdo armazenado no meu telemóvel.

    • rjSampaio says:

      Usa sempre uma VPN numa rede publica se fores a aceder a coisas com password (email, facebook pela pagina, etc)

      HTTPS pode ser removido o “S” usando sslstrip, e pode nem ser preciso, podes ir parar a uma pagina falsa, onde deliberadamente escreves a tua password, ele guarda, e depois lancate a pagina verdadeira, nem chegas a perceber que foste aldrabado.

      Quanto ao acederem ao teu telemóvel, so se tiveres coisas partilhadas, o que não acontece sem tu proprio quereres.

      Androids/iPhones, de origem, não partilham ficheiros sem teres alguma aplicação que o faça, se nao instalaste um servidor FTP HTTP etc, nao tens nada a temer nesse campo.

      O windows por exemplo tens algumas pastas partilhaas, mas 99% nunca ninguem as usa, e quando o faz, normalmente mete password. Nos tempos do Windows 7 /8 / 10 já nem tens isso a vontade, o windows pergunta se estas numa rede publica ou privada, é so escolher privada.

      • Pedro Oliveira says:

        As vpns aumentam a latência, se a latência aumenta o tcp Window scale demora mais a crescer e isso traduz se em menor largura de banda.

        Isso só e possível se aceitares uma CA não fidedigna. Se não alterares as CAs de origem do teu browser/dispositivo não estas vulnerável, nem os antivírus podem analizar o tráfego. O que muitos gestores de sistemas fazem (incorrectamente) é adicionar uma CA ao domínio (e instalar la automaticamente em todos os equipamentos que se autenticam no domínio) para desencriptar o tráfico. Esta é a solução mais insegura de todas porque um acesso de admin no teu domínio pode fazer com que o atacante tenha acesso ao tráfico ssl de todos os clientes do domínio.

        Se acederes a sites bem configurados so precisas de ssl (para tráfego http)

  6. Sophia says:

    According to me only connect wifi the safety purpose apps.

  7. PL says:

    Toda a gente sabe (ou devia saber) que o que é bom sem protecção pode dar em virus… 🙂
    A VPN resolve algumas coisas – depende da VPN – mas a exposição do equipamento NA MESMA REDE a outros utilizadores maliciosos nem por isso.
    Dito isto, eu uso redes abertas e, normalmente, nem me dou ao trabalho de ligar a VPN a menos que precise da segurança adicional. À partida, todos os serviços a que me posso ligar com pass não são críticos ou devem usar SSL.

    • Mike says:

      Se o Hotspot estiver bem configurado usando por exemplo “Block Intra BSS Traffic”, a exposição do equipamento a outros utilizadores na mesma rede não será possível… 😉

  8. Alex says:

    Para os interessados em ter um hotspot WiFi protegido para os clientes -> http://www.spotiwi.pt

Deixe um comentário

O seu endereço de email não será publicado.

You may use these HTML tags and attributes: <a href="" title="" rel=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

*

Aviso: Todo e qualquer texto publicado na internet através deste sistema não reflete, necessariamente, a opinião deste site ou do(s) seu(s) autor(es). Os comentários publicados através deste sistema são de exclusiva e integral responsabilidade e autoria dos leitores que dele fizerem uso. A administração deste site reserva-se, desde já, no direito de excluir comentários e textos que julgar ofensivos, difamatórios, caluniosos, preconceituosos ou de alguma forma prejudiciais a terceiros. Textos de caráter promocional ou inseridos no sistema sem a devida identificação do seu autor (nome completo e endereço válido de email) também poderão ser excluídos.