Velký bratr

Jak hacknout wi-fi síť

16. leden 2015 četba na 13 minut

Foto: redakce

Veřejné wi-fi sítě nejsou bezpečné – lze je snadno odposlouchávat se zařízením, které se dá koupit za pár stovek. Přes wi-fi třeba v kavárně tedy někdo může lehce získat vaše osobní data, přihlašovací údaje do sociálních sítí nebo si přečíst vaše e-maily. Otestoval to i Dotyk, když se minulý měsíc úspěšně „naboural" do dvou veřejných wi-fi sítí v centru Prahy.

Je středa 10. prosince. Vcházíme do kavárny na Václavském náměstí v Praze. Uvnitř je plno. Usedáme k poslednímu volnému stolku v rohu místnosti. Kolem klábosí turisté, kteří si na mobilech prohlížejí fotky předvánočního města a patrně je sdílejí na sociálních sítích. Opodál zahřívá židle několik lidí, jejichž tváře zakrývá monitor notebooku. Pracují, vyřizují e-maily nebo bezděčně surfují po internetu. Ti všichni budou za okamžik potenciální obětí našeho „útoku". Vypadáme jako trojice na pracovní poradě – dva notebooky na klíně, na stole tři smartphony na střídačku s hrnky od kafe a k tomu jeden tablet. Právě ten je naší hlavní zbraní, proto ho bezpečnostní specialista firmy Avast Antonín Hýža raději ukrývá v batohu.

K tabletu je připojen wi-fi adaptér připomínající USB flashdisk s přibližně deseticentimetrovou anténou. Zařízení, které koupíte za tři stovky takřka v každém obchodu s elektronikou. Díky němu dokážeme přeměnit místní kavárenskou wi-fi síť v naši vlastní. Pojmenujeme ji „NEJrychlejsi FREE wifi". Teď nezbývá než čekat.

Chvíle netrpělivosti končí za malý okamžik, když se k naší síti dobrovolně připojují první nic netušící uživatelé. Všechna data, která od teď budou posílat na internet ze svých přístrojů, půjdou přes náš tablet, takže je můžeme snadno monitorovat. Později zopakujeme experiment ještě v restauraci rychlého občerstvení o dva bloky vedle. V ideálním případě stačí asi pět minut, abychom se přes wi-fi „nabourali" do připojeného počítače, pokud se majitel chová neobezřetně. Za zhruba půlhodinu se do naší sítě připojí celkem 11 uživatelů. 

Máme Vaše data

Co všechno o nich zjistíme? Jaký přístroj používají (podle toho lze člověka v podniku celkem jednoduše identifikovat, některé počítače navíc nesou přímo jméno svého majitele), jakou má verzi operačního systému (případnou absenci bezpečnostních záplat dokáže počítačový útočník snadno zneužít), které navštívil webové stránky a v jednom případě se nám zobrazí i obsah poštovní schránky. Vidíme výpis e-mailů, od koho přišly, s jakým předmětem… Tady už experiment narazí na hranu českých zákonů, proto raději svoji síť vypínáme. Za neoprávněný přístup k počítačovému systému či prolomení hesla hrozí dle trestního zákoníku trest odnětí svobody až na jeden rok. 

„Je důležité si uvědomit, že v našem podání šlo pouze o pasivní sledování nezabezpečené sítě, to znamená, že jsme nijak neměnili ani nedešifrovali data. Opravdový útočník může použít nástroje a triky pro dešifrování všech přenášených dat nebo například nahradit reálné www stránky za falešné, a tím se dostat k opravdu osobním informacím," dodává k tomu Antonín Hýža z Avastu.

Sledování digitálních stop

I z pasivního monitoringu však lze získat cenné a osobní informace, jak ukázal obdobný experiment, který v Nizozemsku loni na podzim provedli redaktoři portálu De Correspondent. Při návštěvě několika amsterodamských kaváren zachytili například uživatelské jméno a typ mobilu muže, který používá aplikaci Grindr pro seznamování homosexuálů. U jiné uživatelky zase bylo možné velmi snadno pouze na základě historie navštívených stránek a googlování odvodit, kde se narodila, do jaké jazykové školy chodí na kurzy, že má ráda jógu, nedávno navštívila Thajsko a Laos (kde byla rovněž on-line) a její soukromý život nebude zřejmě ideální, když vyhledává na webu recepty, jak zachránit partnerský vztah.

Šmírování v soukromí po digitálních stopách, jež ve virtuálním světě zanecháváme, je jen lehčí varianta kybernetického obtěžování, které hrozí při nezabezpečeném používání wi-fi sítí. Mnoho uživatelů přitom dostupný a bezplatný internet v kavárnách, restauracích nebo na hotelech považuje za standard. Nevidí přitom, jakému se vystavují riziku. Připomínají středověkého krále, který si sice postavil hradby kolem celého města, ale mosty spojující ho s okolním světem nechal naprosto bez ostrahy. „Komunikace mezi klientským počítačem a přístupovým bodem je otevřená. Tuto komunikaci je tak každý na síti schopen odposlouchávat," varuje Vladimír Lazecký, generální ředitel bezpečnostní firmy Viavis.

Babička jako hacker

Abstraktní a netušené riziko se vám zhmotní před očima, když si jednou otevřete e-mailovou poštu a objevíte novou zprávu, kterou jste očividně poslali sami sobě. Že si na ni nevzpomínáte? Namísto vás ji napsal hacker, který disponuje přístupovými údaji ke schránce. Stejně tak mohl vašemu nadřízenému poslat e-mailem výpověď nebo vašemu partnerovi či partnerce doznání k nevěře. Schránka elektronické pošty je navíc často branou k mnoha dalším službám. Pokud zapomenete heslo do e-shopu nebo sociální sítě, přijde vám nově vygenerované či odkaz k jeho vytvoření právě do mailu. Útočníkovi přitom k získání vašich přístupových údajů stačí maličkost, abyste surfovali přes jím vytvořenou veřejně dostupnou wi-fi síť…

Obdobný případ si na vlastní kůži vyzkoušel také autor tohoto článku. Roli hackera nicméně suploval William Ischanoe, odborný garant kurzů IT bezpečnosti a hackingu počítačové školy Gopas. Na loňské konferenci TechEd vedl přednášku „Babi Hacking WiFi" – prvním slovem není zkomolenina anglického slova Baby, ale české oslovení pro prarodiče. Obsahem byl návod, jak průměrná česká babička se svým rozpočtem a znalostmi dokáže prolomit wi-fi. „Neučím lidi jak někoho šikanovat, ale proti čemu se bránit. Účastníky kurzů jsou nejčastěji administrátoři, kteří se potřebují naučit, jak zabezpečit firemní síť. Takže musí vědět, jak snadno je prolomitelná," vysvětluje Ischanoe, mimochodem Čech s indonéskými předky.

Drahocenné „sušenky"

Jelikož nabourávání se do e-mailové schránky už je za hranou zákonů, uskutečnil se druhý experiment v učebně počítačové školy Gopas a jako cíl útoku posloužil notebook redaktora Dotyku. Scénář však věrně kopíroval standardní průběh využívání veřejně dostupné bezdrátové sítě. Při simulaci vystupuji jako návštěvník Obchodního centra Harakiri, který se chce mezi nakupováním připojit zdarma k internetu. Nevědomky se vydávám vstříc vlastní virtuální sebevraždě. Pro útočníka není nic složitého vytvořit pomocí adaptéru a síťové karty vlastní stejnojmennou síť „OC Harakiri".

„Teď jsem zařídil, že veškerý datový provoz, který posíláte přes internet, nejde přímo na server, ale nejdřív do mého notebooku. Takže já můžu data odposlouchávat nebo je klidně i pozměňovat," hlásí Ischanoe, který sedí v místnosti naproti mně. Na zeď za zády promítá projektor aktivitu jeho počítače. Po černé ploše skáčou pod sebe anglické výrazy jako „scanning for merged targets" nebo „starting unified sniffing". Bezpečnostní instruktor používá z internetu volně dostupný software pro penetrační testování Kali Linux.

Významnou roli při útoku sehrávají softwarové nástroje počítačového pirátství, jejichž hlavním cílem je zmocnit se cookies. Řeč není o sušenkách, ale o malých souborech dat, které navštívený server odešle prohlížeči, jenž je uloží do vašeho počítače. Slouží k rozlišování jednotlivých návštěvníků a ukládají se do nich například uživatelské předvolby. Mohou však představovat bod zranitelnosti. Heslo a login do různých služeb se posílají zabezpečeným kanálem, stejnou cestou se vrací i cookie, kterou vám server přidělí jako jakousi virtuální navštívenku. Při dalším načtení stránky už ale přenos cookie běží po nezabezpečené cestě. Pokud ji útočník zachytí, může dokonale maskovat vaši identitu a vystupovat před serverem jako vy, aniž by musel dešifrovat přihlašovací údaje.  Speciální software neustále prohledává komunikaci mezi cílovým počítačem a servery, ke kterým se připojuje. Pokud objeví nějakou cookie, předá ji jinému programu, který je schraňuje a následně může zneužít.

Problém s https

„Tak a teď se podíváme, co jsem ve vašem internetovém prohlížeči ulovil," vrací se bezpečnostní expert zpět k experimentu. „Vidím loginy a hesla do několika služeb. Vidím, že teď jste si otevřel něco na iDNES.cz," vyjmenovává Ischanoe, zatímco já zvedám pohled od titulku článku na jmenovaném zpravodajském webu. Vše probíhá v reálném čase, jako by se mi hacker celou dobu díval přes rameno. O malou chvilku později už projektor na zeď promítá můj e-mail a heslo, jež slouží k přihlašování do Facebooku. Tyto údaje by přitom měly být chráněné. Komunikace se serverem sociální sítě je šifrovaná, jak naznačuje protokol https na začátku adresního řádku a navíc ikona malého zámku.

Jenže útočník mi chvíli před přihlášením podstrčil falešný certifikát certifikační autority. V dobré (ale naivní) víře jsem ho přijal, aniž bych si ho prohlédl. Stejně by postupovala zřejmě většina uživatelů na webu. Tím pádem jsem hackerovi umožnil bočním vchodem sledovat veškerou mou komunikaci se serverem… Stejným způsobem vám může zobrazit na počítači výzvu, abyste si nainstalovali aktualizaci určitého softwaru. Součástí takového balíčku ovšem může být škodlivý malware, který bude ve vašem počítači tajně sbírat a odesílat hesla nebo i zadávaná čísla platební karty.

Přestože protokol https není pro zkušeného hackera problémem, poskytuje alespoň základní ochranu. Většina velkých poskytovatelů internetových služeb, jako je Google, Facebook, Twitter, Dropbox nebo v Česku Seznam.cz či Mall.cz, jej mají naimplementovaný. Ani to však nenajdete třeba u e-mailového klienta Atlas.cz nebo e-shopu Alza.cz. Respektive posledně jmenovaný web šifrovanou komunikaci podporuje, ale musíte do URL řádku ručně napsat https://www.alza.cz. Při zadání alza.cz (což dělá většina návštěvníků) vás tam web automaticky nepřesměruje.

„Plošně tuto zabezpečenou variantu našim zákazníkům nabídneme, jakmile si budeme jisti, že se bez problémů přihlásí s naprostou většinou internetových prohlížečů," odůvodňuje mluvčí internetového obchodu Denisa Dlabová. William Ischanoe z Gopasu namítá, že pomyslný „míč" je v tomto případě na straně provozovatelů. „Spousta vývojářů řeší, aby web vydělával peníze. Za problém považují, pokud se něco děje s jejich počítači. Pokud je problém na straně zákazníka, není to pro ně důležité," dodává.

Internetový vyhledávač Google proto loni na konferenci I/O zveřejnil výzvu, aby byla bezpečná komunikace přes https všude na webu. Servery, které podporují šifrování, nově zvýhodňuje ve výsledku svého vyhledávání. Samozřejmostí je zesílená ochrana u internetového bankovnictví. „U bankovních aplikací většinou banky na mobilních zařízeních vyžadují komunikaci přes speciální aplikaci, která autentizaci a zabezpečení dat během přenosu řeší. Nebo pracují s autentizací a následným šifrováním založeným na certifikátech," popisuje Vladimír Lazecký z Viavisu.

„Vše lze prolomit"

Protokol https by měl být základem bezpečného surfování po internetu přes wi-fi. Ačkoli, jak upozoňují odborníci, každý systém zabezpečení lze prolomit. „Pokud nelze šifrovanou komunikaci prolomit žádným matematickým algoritmem, zcela určitě existuje způsob, jak jej lze obejít," myslí si Lazecký. Podle něj záleží pouze na množství úsilí a zdrojů útočníka. Kybernetické útoky pomocí veřejné wi-fi už ostatně zaměstnávají i českou policii. Policejní prezidium eviduje jednotky případů ročně. Hackeři občas zneužívají dostupné bezdrátové sítě také k zamaskování jiné trestné činnosti v oblasti informačních technologií, jak v odpovědi na dotaz Dotyku uvedl Václav Písecký, vedoucí oddělení informační kriminality z Krajského ředitelství policie hlavního města Prahy.

Na světě se dle odhadů jen za loňský rok prodaly bezmála dvě miliardy smartphonů, tabletů a počítačů. Většina z nich podporuje připojení k bezdrátové síti. To jsou v souhrnu miliardy přístrojů, které jsou potenciálním cílem kybernetických útočníků. Do značné míry však záleží, zda jim majitelé a uživatelé počítačů pootevřou dveře svým neopatrným surfováním. „Rozšíření veřejných wi-fi sítí je jednou z největších hrozeb pro data uživatelů," varuje na webu Forbes.com zakladatel bezpečnostní firmy TrustedSec David Kennedy.