Firesheep

Firesheep

Тип	Расширение браузера Firefox
Разработчик	Eric Butler
Операционная система	MS Windows, Mac OS X, Linux
Языки интерфейса	английский
Последняя версия	0.1-1[1]
Сайт	codebutler.com/firesheep

Firesheep — расширение браузера Firefox разработанное Eric Butler. Расширение использует сниффер пакетов для перехвата незашифрованных HTTP cookie популярных веб-сайтов, например Facebook и Twitter, передаваемых по сети. Таким образом оно позволяет перехватывать чужие сессии работы с сайтами. Полученные из сети сессии отображаются на боковой панели браузера, и пользователь может войти на сайт от имени другого пользователя путем двойного щелчка на его имени..^[2]

Расширение было создано для демонстрации рисков безопасности, которые существуют, если веб-сайты используют шифрованное соединение лишь для проверки логина и пароля, и не шифруют HTTP cookie, используемые после аутентификации.^[3] В некоторых странах использование этого расширения без согласия пользователей, чьи данные перехватываются, может являться преступлением. Несмотря на угрозу безопасности, которую создает расширение, представители сайта Mozilla Add-ons заявили что не собираются блокировать расширение, так как блокировка используется только в отношении spyware или дополнений, которые создают уязвимости в браузере, а не для блокировки «средств нападения» (attack tools), которые могут использоваться и легально (например, для проверки безопасности собственного компьютера).^[4]

Позже было представлено сходное приложение Faceniff для телефонов с ОС Android.^[5]

Противодействие

Существует несколько методов борьбы с использованием Firesheep в локальных сетях, например путем шифрования соединений. Оно может быть реализовано, например, при помощи протокола HTTPS^[6], путем использования Виртуальной частной сети, или шифрованием беспроводных соединений.

HTTPS

VPN

Беспроводные сети

См. также

• Кража кук
• HTTPS
• Transport Layer Security
• HTTP Strict Transport Security

Примечания

1. ↑ Butler, Eric Firesheep - codebutler. Архивировано из первоисточника 12 августа 2012. Проверено 20 декабря 2010.
2. ↑ Steve Gibson, Gibson Research Corporation Security Now! Transcript of Episode #272. Grc.com. Архивировано из первоисточника 12 августа 2012. Проверено 2 ноября 2010.
3. ↑ Firesheep Sniffs Out Facebook and Other User Credentials on Wi-Fi Hotspots. Lifehacker. Архивировано из первоисточника 12 августа 2012. Проверено 28 октября 2010.
4. ↑ Keizer, Gregg Mozilla: No 'kill switch' for Firesheep add-on. Computer World. Архивировано из первоисточника 12 августа 2012. Проверено 29 октября 2010.
5. ↑ Sniff and intercept web session profiles on Android. Help Net Security. Архивировано из первоисточника 12 августа 2012. Проверено 2 июня 2011.
6. ↑ Seth Schoen The Message of Firesheep: "Baaaad Websites, Implement Sitewide HTTPS Now!" (29 October 2010). Проверено 8 марта 2011.

Ссылки

• Сайт Firesheep
• Статья в New York Times об Firesheep