O suplemento do Firefox Firesheep causou um grande alvoroço há algumas semanas, e com razão. O funcionamento é o seguinte:
- Conecte-se a uma rede pública, não criptografado rede WiFi. Em outras palavras, uma rede WiFi que não exige uma senha para que o usuário possa se conectar a ela.
- Instale o Firefox e o suplemento Firesheep.
- Aguarde. Talvez o senhor tome um café com leite enquanto espera.
- Clique nos ícones de usuário / site que aparecem ao longo do tempo no Firesheep para faça login instantaneamente como esse usuário nesse site.
Que loucura! Esse cara que escreveu o Firesheep deve ser um hacker de classe mundial, certo?
Bem, não. O trabalho de empacotar tudo isso de uma forma que seja (mais ou menos) acessível a usuários avançados é louvável, mas o que o Firesheep realmente faz está longe de ser mágico. É mais um projeto de arte e um golpe de relações públicas do que um hack real de qualquer tipo. Ainda assim, fiquei estranhamente empolgado ao ver o Firesheep receber tanta publicidade, porque ele destaca um problema fundamental da arquitetura da Web.
A Web é uma espécie de mídia primitiva. A única maneira de os sites saberem quem é o senhor é por meio de minúsculas cadeias de caracteres de identificação exclusiva que o navegador envia ao servidor da Web a cada clique:
GET / HTTP/1.1
Host: diy.stackexchange.com
Connection: keep-alive
User-Agent: Chrome/7.0.517.44
Accept-Language: en-US,en;q=0.8
Cookie: diyuser=t=ZlQOG4kege&s=8VO9gjG7tU12s
If-Modified-Since: Tue, 09 Nov 2010 04:41:12 GMT
Esses são os tipos típicos de cabeçalhos HTTP que seu navegador envia a um site a cada clique. Está vendo aquele pequeno cookie em vermelho vivo? Para um site, ele é sua impressão digital, seu DNA e seu número de seguro social, tudo em um só. Uma parte do cookie contém um ID de usuário exclusivo que informa ao site que o senhor é o senhor.
E adivinhe o que acontece? Esse cookie é sempre transmitido em texto simples toda vez que o senhor clica em um link em qualquer site. Bem ao ar livre, onde qualquer pessoa – bem, tecnicamente, qualquer pessoa que esteja na mesma rede que o senhor e que esteja em posição de ver seus pacotes de rede — pode simplesmente pegá-los do éter e imediatamente se passar pelo senhor em qualquer site do qual seja membro.
Agora que o senhor sabe como os cookies funcionam (e não estou dizendo que é uma cirurgia de foguete ou algo assim), também sabe que o que o Firesheep faz é relativamente simples:
- Escutar todo o tráfego HTTP.
- Aguardar os cabeçalhos HTTP de um site conhecido.
- Isolar a parte do cabeçalho do cookie que identifica o usuário.
- Inicie uma nova sessão do navegador com esse cookie. Pimba! No que diz respeito ao servidor da Web de destino, o senhor são esse usuário!
Tudo o que o Firesheep precisa fazer, na verdade, é ouvir. Isso é praticamente tudo sobre esse “hack”. Assustador, não é? Bem, então o senhor deve estar tremendo de medo, porque é assim que toda a Internet funciona desde 1994, quando os cookies foram inventados.
Então, por que isso não era um problema em, digamos, 2003? Por três motivos:
- As conexões públicas de internet sem fio não eram exatamente comuns até alguns anos atrás.
- As pessoas comuns foram além da navegação anônima e transferiram partes significativas de sua identidade on-line (também conhecido como o efeito Facebook).
- As ferramentas necessárias para escutar em uma rede sem fio são um pouco… menos primitivas agora.
O Firesheep surgiu exatamente no ponto de inflexão dessas três tendências. E, veja bem, ainda não é uma certeza – o Firesheep requer um conjunto específico de chipsets de rede sem fio que suportem modo promíscuo na biblioteca WinPcap de nível inferior da qual o Firesheep depende. Mas podemos apostar que as comportas foram abertas e que futuras ferramentas semelhantes a essa se tornarão cada vez mais um caso de um clique.
O outro motivo pelo qual isso não era um problema em 2003 é que o senhor qualquer site que realmente necessário A segurança mudou para HTTP criptografado — também conhecido como HTTP seguro — há muito tempo. O HTTPS foi inventado em 1994, ao mesmo tempo em que o cookie do navegador. Isso não foi uma coincidência. Os criadores do cookie sabiam desde o primeiro dia que precisavam de uma maneira de protegê-los de olhares curiosos. Mesmo nos tempos sombrios e primitivos de 2003, qualquer site de banco ou site de identidade que se preze nem sequer usava consideraria usando HTTP simples. Eles seriam ridicularizados na Internet!
A manifestação de preocupação com o Firesheep é justificada, porque, bem, o pote de biscoitos da Web sempre esteve meio quebrado e devemos fazer algo a respeito. Mas o quê?
Sim, o senhor pode argumentar ingenuamente que todo site deve criptografar todo o seu tráfego o tempo todo, mas, para mim, essa é uma solução do tipo “ferver o mar”. Prefiro ver um protocolo de identidade melhor e mais seguro do que os velhos cookies HTTP. Na verdade, não me importo se alguém vê o restante da minha atividade pública no Stack Overflow; dificilmente é um segredo. Mas, caramba, eu com certeza do se importam se os senhores de alguma forma farejarem meu cookie e começarem a correr por aí fazendo coisas como eu! Criptografar tudo apenas para proteger esse maldito cabeçalho de cookie me parece um exagero.
No entanto, não estou esperando que isso aconteça tão cedo. Portanto, aqui está o que o senhor pode fazer para se proteger, agora mesmo, hoje:
- Devemos ter muito cuidado com a forma como navegamos em redes sem fio não criptografadas. Esse é o grande presente do Firesheep para todos nós. Se não fosse por isso, deveríamos agradecer ao autor por essa advertência simples e severa. É um fato inevitável da vida: se o senhor precisa usar wireless, procure o criptografado redes sem fio. Se o senhor não tiver outra opção a não ser redes sem fio não criptografadas, navegue anonimamente – o que é bem possível se tudo o que pretende fazer é navegar casualmente na Web e ler alguns artigos – e somente faça login somente em sites que suportem https. Qualquer outra coisa pode causar roubo de identidade.
- Adquira o hábito de acessar seu webmail por meio de HTTPS. O e-mail é a chave mestra de fato para sua identidade on-line. Quando seu e-mail é comprometido, tudo está perdido. Se o seu provedor de webmail não oferece suporte a http seguro, ele é um idiota. Largue-o como uma batata quente e imediatamente mudar imediatamente para um que faça isso. Os provedores de webmail inteligentes já mudaram para https por padrão!
- Faça um lobby nos sites que o senhor usa para oferecer navegação HTTPS. Acho que já passamos claramente do ponto em que se espera que apenas os sites de bancos e finanças usem HTTP seguro. À medida que mais pessoas transferem mais de suas identidades on-line, faz sentido proteger essas identidades transferindo o HTTPS do domínio de uma enorme porta de cofre de banco para o simples trancando a porta. O SSL não é tão caro quanto costumava serem todas as dimensões da frase, portanto, não é um absurdo pedir isso ao seu site favorito.
Esse conselho é muito amplo e há uma série de ressalvas técnicas para o que foi dito acima. Mas é um ponto de partida para divulgar os riscos e o uso responsável de redes sem fio abertas. O Firesheep pode de fato ter quebrado o pote de biscoitos da Web. Mas, para começar, era um pote de biscoitos velho, surrado e rachado. Espero que os poderes constituídos usem o Firesheep como incentivo para criar uma solução de identidade on-line melhor do que os antigos cookies HTTP.