Kaarlo Räihä
26. lokakuuta, 2010 10:12
Firefox-selaimelle on aikojen saatossa julkaistu tuhansia erilaisia laajennuksia, mutta viime päivinä suosiota on kerännyt erityisesti Firesheep, jonka avulla tavallinenkin tallaaja voi murtautua useisiin eri verkkopalveluihin.
Firesheep toimii hyvin yksinkertaisella tavalla, sillä se kerää avoimissa WLAN-verkoissa liikkuvia salaamattomia evästeitä, joiden avulla monet verkkopalvelut tunnistavat käyttäjänsä. Firesheep näyttää kerätyt tiedot Firefoxissa, ja nappia painamalla Firesheepin käyttäjä voi kirjautua kyseiseen verkkopalveluun toisena käyttäjänä käyttämällä toisen surffaajan evästettä omanaan.
Firesheep toimii tällä hetkellä ainakin Twitter-, Facebook-, Flickr-, Tumblr- ja Yelp-sivustojen kanssa, ja pienillä muutoksilla laajennuksen saisi toimimaan myös tuhansien muiden sivustojen kanssa.
Laajennuksen kehittänyt Eric Butler on liikkeellä tietoturvan nimissä, ja hän kehitti Firesheepin, jotta ihmiset ymmärtäisivät kuinka huonosti monen palvelun tietoturva on toteutettu. Tunnistautumiseen käytettävien evästeiden lähettäminen salaamattoman HTTP-yhteyden ylitse on Butlerin mukaan vakava ongelma, ja tätä hyökkäyskeinoa on hyödynnetty jo useissa verkkohyökkäyksissä.
Salattujen HTTPS-yhteyksien kanssa vastaavaa ongelmaa ei ole, mutta kaikki verkkopalvelut eivät tarjoa kyseistä vaihtoehtoa käyttäjille. Lisäksi jossain palveluissa vain kirjautuminen suoritetaan HTTPS:n avulla, jonka jälkeen evästeet liikkuvat eteenpäin jälleen suojaamattoman HTTP-protokollan avulla.
Firesheepin vakoilulta voi suojautua salaamattomassa WLAN-verkossa esim. VPN-yhteyden avulla tai Force-TLS-laajennuksella, joka pakottaa monet sivustot jatkuvaan HTTPS-yhteyteen.
Firesheep-laajennusta on tähän mennessä ladattu yli 100 000 kertaa.