HTTPS, SSL/TLSPorque você deve usá-los SEMPRE

Exemplos reais de ataqueIndispensávels estratégias de defesa

Pizza Tech

About Me – Vinícius “K-Max”

Submerso na área de infosec desde 1999

Pivotei profissionalmente de vez em 2003

Trabalhando com consultoria e pentesting

desde então

Co-fundei a Pontosec (primeira turma do

SEED)

Twitter: @viniciuskmax

Email: vinicius at pontosec.com

Sniffing + ARP Spoofing == BOOM

Man in the Middle via manipulação da tabela ARP

Sensacionais ferramentas point-and-click:

Windows: Cain & Abel - clássica (2001), extremamente funcional, estável, bastante atualizada.

Intercepter-NG - (2006), mais recursos que o Cain, estável, bastante atualizada.

Linux / Mac: ettercap-NG (2001) - também clássica, ressuscitada em 2011 e atualizada diariamente.

Android: DroidSheep, Dsploit, entre outras.

Side-Jacking – Comendo seu cookie

Sequestro de sessão via roubo de cookies Antes dos browser add-ons/extensions (~2004):

complicado 2004

Injeção no FF via add-ons (Add N Edit Cookies) 2009

hamster & ferret – ficou underground, restrito a infosec pros

2010 Firesheep - FF add-on finalmente popularizou o

ataque 2012

CookieCadger - fantástica app java, recomendada

DEMO

Side-Jacking – Comendo seu cookie

HTTP Injection – trollagem sem limites

Modificação das páginas HTTP das vítimas em

tempo real Todo um delicioso universo cheio de cores e

sabores:

Substituição de imagens (diversão garantida )

Injeção de javascript malicioso

Substituição de executáveis downloadeados

(game over p/ usuário)

Etc… a imaginação é o limite :P Ferramentas:

AirPwn, Intercepter-NG, LANS.py, ettercap-NG

Medidas de proteção - Adote-as HOJE!

Usuários: HTTPS Everywhere – força HTTPS em sites que já o

suportam.

VPN – tunnela TODA a conexão, ideal pra admin tasks

em ambientes públicos/inseguros.

Não usar IE - único browser que ainda não suporta

HSTS (HTTP Strict Transport Security)

Monitoramento de mudança do gateway por pequenos

aplicativos.

Proteger logins POP3/IMAP/SMTP adotando TLS ou SSL

neles.

Abandonar de vez o FTP “puro” e usar FTP-SSL (Explicit

AUTH TLS) ou SFTP (SSH File Transfer Protocol)

Medidas de proteção - Adote-as HOJE!

Admins de rede pública ou doméstica: Ativar recurso AP isolation (comum em roteadores

WiFi)

Admins de rede corporativa: Setar manualmente a tabela ARP (port-security

em switchs Cisco; HP and Juniper tem proteções

similares)

Proteger logins POP3/IMAP/SMTP adotando

TLS/SSL.

Admins de sites: Colocar HTTPS não apenas nos logins, mas onde

for possível (aka ALL THE THINGS)

Dúvidas?Obrigado!

Pizza Tech