Firehseep: volez les cookies des utilisateurs des wifi publics

Lorsque vous vous connectez à un site Web, vous commencez généralement par entrer votre nom d'utilisateur et votremot de passe. Le serveur vérifie ensuite si un compte correspondant à cette information existe et si oui, vous répond avec un «cookie» qui est utilisé par votre navigateur pour toutes les demandes ultérieures. Ce cookie (et l'utilisateur) sont, néanmoins, vulnérables, via ce que l'on appelle le "sidejacking", c'est à dire le détournement de session HTTP: quand un attaquant obtient les cookies d'un utilisateur,  leur permettant ainsi de faire tout ce que l'utilisateur peut faire sur un site particulier. Sur un réseau sans fil ouvert, les cookies sont véritablement hurlés dans tous les sens, aux oreilles de tous, facilitant ces attaques.

C'est un problème bien connu qui a déjà fait parler de lui, et pour tant, de très nombreux sites Web très populaires continuent à échouer à protéger leurs utilisateurs.  La seule solution efficace pour résoudre ce problème est de crypter, crypter, et crypter, notamment HTTPS/SSL. 

Facebook est constamment en train de déployer de nouvelles protections de la "vie privée", dans une tentative sans fin pour étouffer les cris des malheureux utilisateurs, mais à quoi bon, lorsque l'on peut récupèrer tout le contenu d'un compte ? Quand il s'agit de vie privée des utilisateurs, SSL est l'éléphant dans la pièce.

C'est dans ce cadre que l'américain Eric Butler a développé Firesheep, une extension pour Firefox conçue pour démontrer à quel point ce problème est grave: cette extension vous permet de récupèrer les cookies qui circulent via les réseaux wifi publics.

Après avoir installé l'extension, vous verrez une nouvelle barre latérale. 

Connectez-vous à n'importe quel réseau WiFi ouvert (avec des gens qui l'utilisent) et cliquez sur le bouton "Start Capture". 

Attendez un peu et ...

 

Dès que quelqu'un sur le réseau visite un site connu par Firesheep, le nom de l'utilisateur et sa photo sera affichée:

Double cliquez dessus, et vous serez immédiatement loggé sur leur compte.

 Et c'est tout.

Firesheep est open-source, et fonctionne sous mac os x, windows et linux

Plus d'informations (et téléchargement) ici : http://codebutler.com/firesheep