Sicurezza reti WiFi pubbliche: il test di F-Secure

F-Secure, in collaborazione con Mandalorian Security Services ed il Cyber Security Research Institute, ha condotto a Londra un nuovo esperimento coinvolgendo tre politici inglesi. Dopo aver ottenuto il loro consenso, è stato chiesto ai politici di collegare i propri dispositivi mobili – notebook e tablet – ad una rete WiFi pubblica, simile a quelle che sono disponibili ed accessibili in tutto il mondo.

L’obiettivo del team di F-Secure consisteva nel dimostrare quanto l’accesso ad una rete WiFi pubblica possa rivelarsi pericoloso se non si adottano alcune utilissime precauzioni.

Il test, simile a quello condotto da F-Secure a settembre (Wi-Fi pubbliche: utenti londinesi troppo superficiali) ha visto l’utilizzo di un router WiFi preparato e configurato “ad arte”.
Nel loro esperimento, i tecnici di F-Secure (come si può evincere visionando il video ripubblicato in calce all’articolo) hanno utilizzato BeEF – The Browser Exploitation Framework, software che consente di lanciare diverse tipologie di attacco nei confronti dei browser web.

Utilizzando uno sniffer, è piuttosto semplice – per un aggressore – carpire tutte le informazioni che transitano “in chiaro” (quindi senza che venga adoperato alcun algoritmo crittografico) attraverso la connessione WiFi. Se si utilizza, ad esempio, il protocollo POP3 per scaricare la posta elettronica senza usare i protocolli crittografici SSL/TLS, sarà molto semplice per un malintenzionato rubare la password altrui, indipendentemente dalla sua complessità.
Allo stesso modo, chi è connesso alla stessa WiFi o chi amministra un router wireless configurato per monitorare le attività altrui, può facilmente ottenere la lista dei siti web visitati ed ottenere il contenuto delle pagine web (a meno che non utilizzino il protocollo HTTPS).

Ricorrendo a BeEF è stato sferrato poi un attacco che ha indotto uno dei tre parlamentari a reinserire le proprie credenziali Facebook in una falsa pagina che ricalcava la struttura ed il look del social network di Mark Zuckerberg. Modificando i pacchetti dati HTTP in transito, infatti, i tecnici di F-Secure hanno potuto provocare la visualizzazione, sul sistema client della parlamentare inglese, di una pagina malevola che invitava ad introdurre nome utente e password di Facebook adducendo una motivazione fasulla (in questo caso, spiegando che era scaduta la sessione).

L’utilizzo di una rete VPN consente di difendersi da tutte le tipologie di attacco facendo sì che un aggressore connesso alla medesima WiFi non possa sottrarre alcun dato, neppure quelli che originariamente vengono scambiati in forma non crittografata.

Nei due articoli Usare WiFi aperte è sicuro? Come proteggersi e Collegarsi ad una rete Wi-Fi pubblica o non protetta: come proteggere i propri dati abbiamo spiegato come proteggersi.

F-Secure offre il servizio Freedome, una VPN che attiva un tunnel cifrato coi server dell’azienda finlandese.