Password in vista (non c'èntra l'OS)

Fino ad una settimana fa erano solo dubbi infondati, ovvero me lo aspettavo ma non ci ho mai fatto caso più di tanto. Di cosa sto parlando? Dei dati che inseriamo nei form di alcuni siti (Vodafone, Libero, ecc) e quindi anche la password.

Facendo una sessione di prova con Wireshark sono entrato nella mia WebMail di libero (dominio inwind.it) e ho digitato i miei dati. Risultati?

LIBERO:
1) Analizzando il traffico di rete, nel campo info dovete trovare una richiesta di tipo POST che dice:
POST /email.php HTTP/1.1 (application/x-www-form-urlencoded)

2) Andate nella sezione in basso e cliccate su "Line-based"

- Sorpresa, i vostri dati sono in chiaro, e anche la vostra password. -

E Libero non è il solo. Penso che anche la Vodafone faccia così. Questo succede perché le connessioni dal Browser Web al WebServer non sono crittografate. La connessione protetta va dal Web Server al Mail Server (come Ianni ci insegna ) per evitare che qualcuno legga la nostra posta, peccato che noi gli diamo direttamente la chiave della porta principale :-(

Comunque non disperate: per poter sniffare le vostre connessioni, dovrebbe esserci qualcuno (che non ha proprio niente da fare) lungo il percorso, e poi a chi interessa cosa c'è nella nostra posta elettronica?

Dovrebbe preoccuparsi più una banca per esempio

Facciamo una cosa, chiunque ha voglia, può fare esperimenti con Wireshark e postare qui quali siti non adottano le dovute precauzioni, così magari ci esercitiamo un pò in vista dell'esame

P.S.
Mi raccomando, non sniffate troppo

Moder ha scritto:

Fino ad una settimana fa erano solo dubbi infondati, ovvero me lo aspettavo ma non ci ho mai fatto caso più di tanto. Di cosa sto parlando? Dei dati che inseriamo nei form di alcuni siti (Vodafone, Libero, ecc) e quindi anche la password.

Facendo una sessione di prova con Wireshark sono entrato nella mia WebMail di libero (dominio inwind.it) e ho digitato i miei dati. Risultati?

LIBERO:
1) Analizzando il traffico di rete, nel campo info dovete trovare una richiesta di tipo POST che dice:
POST /email.php HTTP/1.1 (application/x-www-form-urlencoded)

2) Andate nella sezione in basso e cliccate su "Line-based"

- Sorpresa, i vostri dati sono in chiaro, e anche la vostra password. -

E Libero non è il solo. Penso che anche la Vodafone faccia così. Questo succede perché le connessioni dal Browser Web al WebServer non sono crittografate. La connessione protetta va dal Web Server al Mail Server (come Ianni ci insegna ) per evitare che qualcuno legga la nostra posta, peccato che noi gli diamo direttamente la chiave della porta principale :-(

Comunque non disperate: per poter sniffare le vostre connessioni, dovrebbe esserci qualcuno (che non ha proprio niente da fare) lungo il percorso, e poi a chi interessa cosa c'è nella nostra posta elettronica?

Dovrebbe preoccuparsi più una banca per esempio

Facciamo una cosa, chiunque ha voglia, può fare esperimenti con Wireshark e postare qui quali siti non adottano le dovute precauzioni, così magari ci esercitiamo un pò in vista dell'esame

P.S.
Mi raccomando, non sniffate troppo

Concordo con moder, e ribadisco che ne sono affetti tutti i sistemi che dopo aver fatto login corretto non visualizzano nell'url l'uso del secure socket layer; quindi vodafone, uniwex e alice ad esempio non fanno passare i dati in chiaro, libero sì ...

hotmail, uniwex sono tutte crittografate, il problema è che c'è gente che sulla casella di posta di libero ci lascia account di altre cose e magari scopri le password di tutto a parte la violazione della privacy ma se uno è bastardo ti cancella da uniwex dall'esame il giorno prima magari all'esame di ricerca operativa dove è necessaria la prenotazione vabbè il consiglio è di usare solo account https:// o almeno di non lasciare lì i dati sensibili

Moder ha scritto:

Fino ad una settimana fa erano solo dubbi infondati, ovvero me lo aspettavo ma non ci ho mai fatto caso più di tanto. Di cosa sto parlando? Dei dati che inseriamo nei form di alcuni siti (Vodafone, Libero, ecc) e quindi anche la password.

Facendo una sessione di prova con Wireshark sono entrato nella mia WebMail di libero (dominio inwind.it) e ho digitato i miei dati. Risultati?

LIBERO:
1) Analizzando il traffico di rete, nel campo info dovete trovare una richiesta di tipo POST che dice:
POST /email.php HTTP/1.1 (application/x-www-form-urlencoded)

2) Andate nella sezione in basso e cliccate su "Line-based"

- Sorpresa, i vostri dati sono in chiaro, e anche la vostra password. -

E Libero non è il solo. Penso che anche la Vodafone faccia così. Questo succede perché le connessioni dal Browser Web al WebServer non sono crittografate. La connessione protetta va dal Web Server al Mail Server (come Ianni ci insegna ) per evitare che qualcuno legga la nostra posta, peccato che noi gli diamo direttamente la chiave della porta principale :-(

Comunque non disperate: per poter sniffare le vostre connessioni, dovrebbe esserci qualcuno (che non ha proprio niente da fare) lungo il percorso, e poi a chi interessa cosa c'è nella nostra posta elettronica?

Dovrebbe preoccuparsi più una banca per esempio

Facciamo una cosa, chiunque ha voglia, può fare esperimenti con Wireshark e postare qui quali siti non adottano le dovute precauzioni, così magari ci esercitiamo un pò in vista dell'esame

P.S.
Mi raccomando, non sniffate troppo

Visto che sfiga? E pensa che il fatto che ti sniffino una password è una delle cose meno cattive che ti può succedere nella grande rete