 OwNeRUnstopable HackerDin: Fagaras
Postari: 131
|
|
Focul, Browserul-ul și Mintea iți sunt de folos,
atâta timp cât știi să le stăpânești
Majoritatea utilizatorilor sunt atît de leneși, încât preferă să spere că ei nu vor fi ținta vre-o unui atac cibernetic, decât să caute/utilizeze informația necesară pentru ași proteja datele confidențiale, care, în majoritatea cazurilor, devin (datele) într-adevăr importante doar după ce vre-un ”nepoftit” obține acces la ele. Dar după cum bine știm, dacă ceva rău se poate întâmpla, se va întâmpla, iar faptul că dorim din răsputeri ca acest lucru să nu se întâmple — nu ne va ajuta cu nimic.
Iată de ce, în acest articol vreau să vorbesc puțin despre siguranța și comoditatea de a utiliza «Gestionarul de parole», care după părerea mea, împreună nu fac o echipă prea bună. Desigur, e foarte comod atunci când browser-ul completează automat toate căsuțele, inclusiv numele de utilizator și parola. Dar după cum vă dați seama, aceste date sunt salvate pe hard disk și odată ce cineva obține acces la PC, obține acces și la aceste date, care sunt încriptate și într-o oarecare măsură nu pot fi extrase atât de ușor cum ar dori unii.
În principiu, fiecare companie încearcă să ofere o protecție cât mai bună a datelor de logare salvate de browser , dar după părerea mea, cel mai bine le reușește celor de la Mozilla Foundation care dezvoltă renumitul browser Mozilla Firefox. Adică, chiar dacă atacatorul obține acces la fișierele în care sunt salvate parolele browser-ului, tehnologia folosită de Firefox va avea grijă ca atacatorul să nu poată extrage (prea ușor) datele încriptate.
Bazându-ne pe astfel de ”idei”, ar fi mai logic și mai sigur să salvăm parole cu ajutorul «Gestionarului de parole», deoarece, chiar dacă PC-ul va fi infectat cu un Trojan (desigur, care nu poate extrage datele încriptate) parolele rămân în siguranță atâta timp cât utilizatorul nu introduce manual parola pe o pagină scam sau capturată de un sniffer. Totuși, aceasta din urmă metodă, cu părere de bine, din câteva motive (cum ar fi Challenge-response authentication sau conexiunile securizate) nu va funcționa pentru toate site-urile.
Cât despre paginile scam, într-adevăr această tehnologie e destul de periculoasă ce la sigur îi va afecta pe majoritatea utilizatorilor ”simpli”. Dar de obicei, spre deosebire de marea majoritate, chiar dacă un expert introduce parola pe o pagină scam, văzând că parola nu este acceptată sau că browser-ul se comportă ”straniu” — pe loc își va seama despre ce e vorba și va ști că are minute numărate pentru a accesa cât mai rapid contul electronic și să schimbe parola, ca mai apoi să caute și să înlăture problema.
Acum, haideți să ne imaginăm un utilizator ce are un cont pe un site important, are instalat browser-ul Firefox, parolele pentru acest site sunt salvate cu ajutorul «Gestionarului de parole», dar pe lângă toate astea, mai are un mic ”progrămel” care rulează fără știrea lui și așteptă comenzile de la ”stăpân”. Din fericire, eroul nostru (utilizatorul desigur), știe foarte bine ce e securitatea informațională și după cum vă dați bine seama, atacatorul nu poate fura parolele salvate cu ajutorul unei pagini scam (am uitat să precizez că acel mic ”progrămel” e atât de mic, încât nu putea nici extrage datele încriptate și nici sniffer nu avea).
Însă, necătînd la faptul că utilizatorul e un adevărat profesional, pentru a fura parolele salvate cu ajutorul «Gestionarului de parole» Firefox, totuși se poate folosi scam-ul, doar că fără ca utilizatorul să ”asiste” la această scenă tragică. Problema e că o dată ce browser-ul Firefox deschide un site pentru care au fost salvate datele de logare, automat completează căsuțele cu datele necesare, iar atacatorului nu-i rămâne de cât să simuleze click-ul utilizatorului. Cel mai interesant, este că pentru Firefox acest lucru poate fi făcut și la nivel de programare web:
HTML Code:
Code:
<html>
<head>
<title>Welcome to Scam page</title>
</head>
<body onload='document.forms[0].send.click();'>
<form method='post'>
<input type='text' name='user' />
<input type='password' name='pass' />
<input type='submit' name='send' id='send' value='login' />
</form>
</body>
</html> |
Astfel, dacă parolele au fost salvate cu ajutorul «Gestionarului de parole», deschizând pagina de mai sus — căsuțele «user» și «pass» vor fi completate automat de către Firefox și datele vor fi trimise către server, fără ca utilizatorul să apese sau să introducă ceva.
În principiu, cam asta a fost ideea. Desigur, mai sunt multe întrebări legate, de exemplu, despre celelalte browsere, despre acei mulți utilizatori care cred că ”eu sunt un expert și cu ușurință voi observa scam-ul” și multe alte întrebări, răspunsul la care, foarte repede îl veți găsi dacă ieșiți din ”cutiuță”.
_______________________________________
Nu v`am uitat perversilor, scuzele nu`s rezolvarea, sa va ierte Dumnezeu ca eu nu mai cunosc iertarea !
|
|
