Twee onderzoekers van de universiteiten van Illinois en Columbia hebben tijdens de Black Hat-conferentie aangetoond dat het stelen van cookies nog steeds een groot probleem is. Via een dergelijke aanval kunnen veel gevoelige gegevens ingezien worden, en https is maar een gedeeltelijke oplossing.
Het stelen van een cookie via een onbeveiligde http-verbinding is vrij eenvoudig, zo stellen de onderzoekers Suphannee Sivakorn en Jason Polakis. Bijvoorbeeld door een openbare wifi-hotspot in een café in de gaten te houden met tools als Wireshark en tcpdump. Zij stellen voorop dat cookie hijacking geen nieuw verschijnsel is, maar dat het nog steeds problemen oplevert. Zo maakt maar de helft van internet gebruik van een beveiligde https-verbinding.
Daar komt bij dat ook een versleutelde verbinding geen volledige bescherming biedt tegen het onderscheppen van cookies. Een browser maakt in sommige gevallen eerst verbinding met een site via http, waarna de server antwoordt dat er ook een https-verbinding mogelijk is. Daarna wordt de verbinding via https voortgezet. Een cookie wordt echter al tijdens het eerste gedeelte van de verbindingsopbouw uitgewisseld, waardoor dit alsnog te onderscheppen is.
In hun eerder gepubliceerd onderzoek hebben de wetenschappers zich gericht op de 25 meest populaire sites op het internet. Daarvan gebruiken er 15 https, wat aantoont dat de techniek nog niet alomtegenwoordig is. Zelfs bij een presentatie over het interne netwerk van Black Hat bleek dat de meeste uitgaande verbindingen via http verliepen, wat toch enige vragen opriep. Veel van de grote sites ondersteunen bijvoorbeeld personalisatie via een onbeveiligde verbinding. Door een cookie te stelen, kan deze gepersonaliseerde versie van de site ingezien worden, waardoor een grote hoeveelheid gevoelige gegevens zichtbaar is.
Door met een gestolen cookie zelf verbinding te maken met de server, zowel via http als https, wisten de onderzoekers bij zoekmachines als Google, Bing en Yahoo bijvoorbeeld het e-mailadres, de profielfoto en de voor- en achternaam van het slachtoffer te achterhalen. Daarnaast was het mogelijk om de zoekgeschiedenis, bezochte pagina's en opgeslagen locaties in te zien. In het geval van Yahoo was het bovendien mogelijk om titels en een beknopte weergave van e-mails in te zien, contacten te exporteren en e-mails vanaf het account van het slachtoffer te versturen.
Grote onlinewinkels als eBay, Target, Walmart en Amazon bieden allemaal ondersteuning voor https, maar slechts voor een gedeelte van de site. Bijvoorbeeld voor logins en accountpagina's. Andere delen, zoals de winkelwagen en gekochte producten, worden via een onbeveiligde verbinding aangeboden. Daardoor zijn deze gegevens in combinatie met gebruikersnaam en e-mail in te zien. In het geval van eBay was het mogelijk om het volledige verzendadres te achterhalen. Door vijftien procent van het wifi-netwerk van de universiteit van Columbia een maand lang in de gaten te houden, wisten de onderzoekers uiteindelijk 282.000 kwetsbare accounts te detecteren.
De bevindingen hebben ook gevolgen voor het Tor-netwerk, zo zeiden de wetenschappers. Door een exitnode dertig dagen met toestemming in de gaten te houden bleek dat ongeveer driekwart van al het verkeer via http verliep. Om privacyredenen konden zij geen cookies meten, maar op basis van het percentage aan onbeveiligd verkeer kan aangenomen worden dat een groot deel van de gebruikers kwetsbaar is.
Een mogelijke oplossing voor dit probleem is hsts. Dat zorgt ervoor dat de server aan de browser laat weten alleen een https-verbinding te gebruiken. Deze techniek werkt echter alleen naar behoren als alle subdomeinen van een website via https te benaderen zijn. Dit gebeurt echter niet altijd, zo was account.google.com via https te benaderen, maar google.com/account niet. Dit heeft Google overigens in de laatste vijf dagen opgelost, aldus de onderzoekers. Ook hebben veel sites grote gedeeltes met legacy-systemen, waardoor die delen onbeveiligd blijven.
De wetenschappers hebben de betreffende bedrijven in november gewaarschuwd, waarna sommige ondernemingen actie hebben ondernomen. Andere bedrijven lieten onder andere weten dat 'de nieuwe applicaties wel beveiligd zullen zijn' en dat 'dit soort risico's nu eenmaal geaccepteerd moeten worden'. Een mogelijke oplossing voor gebruikers is het installeren van de extensie https everywhere van de Electronic Frontier Foundation. De onderzoekers merken op dat dit echter niet altijd werkt en soms problemen oplevert met bepaalde sites.
:strip_exif()/i/1274175470.gif?f=fpa)
/i/1316504693.png?f=fpa)
/i/1375792693.png?f=fpa)
:strip_exif()/i/2001073909.jpeg?f=fpa)
:strip_exif()/i/1263563744.gif?f=fpa)
:strip_exif()/i/1297080812.gif?f=fpa)
:strip_exif()/i/1298020644.gif?f=fpa)
/i/2000900259.png?f=fpa)
/i/2001003755.png?f=fpa)
/u/12436/p1_normal.png?f=community){kind=small}
/u/41036/gravatar_got.png?f=community){kind=avatar}
/u/34210/groeifruitavatar100.JPG?f=community){kind=avatar}
/u/911/tux-extreme2.png?f=community){kind=small}
:strip_exif()/u/300600/mona_tux_christmas.gif?f=community){kind=small}
/u/49730/babby%2520tux.png?f=community){kind=small}
:strip_icc():strip_exif()/u/393369/crop55d593566408c.jpeg?f=community){kind=small}
:strip_icc():strip_exif()/u/129865/crop5cb775b8692d8.jpeg?f=community){kind=small}
/u/568024/crop5daf65f638cdd_cropped.png?f=community){kind=small}
:strip_icc():strip_exif()/u/148671/skyaero_small_tweakers.jpg?f=community){kind=small}