Bild: Flickr, Charleston's The Digitel

Automatisk anslutning till nätverk en säkerhetsrisk

Det finns en inbyggd säkerhetsrisk i OS X och IOS när det gäller öppna trådlösa nätverk. Enheterna kommer ihåg vilka nätverk de tidigare varit uppkopplade mot och ansluter automatiskt till nätverk med samma namn utan att göra några vidare kontroller att det faktiskt är samma nätverk.

För några år sedan dök Firesheep upp, ett tillägg till webbläsaren Firefox som gjorde det busenkelt att stjäla en annan dators aktuella inloggning på bland annat Facebook. Det räckte med att båda datorerna använde samma trådlösa nätverk, om nätverket saknade kryptering.

Ett trådlöst nätverk utan kryptering kallas ibland för ett öppet nätverk eftersom alla kan ansluta till det utan att känna till ett lösenord. Öppna trådlösa nätverk är smidiga, speciellt i sammanhang där många personer behöver använda nätverket under en kortare tid, som till exempel på fik eller tåg eller liknande.

Den stora nackdelen med öppna nät är trafiken sker i klartext och kan avlyssnas av vem som helst som är ansluten till nätverket. Det betyder att normala aktiviteter som att surfa på nätet eller hämta och skicka e-post går att lyssna av, om de inte sker krypterat i sin tur (krypterade webbsidor börjar på https och krypterad e-post kallas SSL).

Vad Firesheep gjorde heter sessionskapning ("session hijacking") och gick i korthet ut på att lyssna på trafiken i nätet och snappa upp då någon webbläsare sände en "kaka" (cookie) från Facebook, det räckte med att kopiera denna för att framstå som inloggad på Facebook, utan att behöva känna till lösenordet för kontot.

Händelsen fick mycket uppmärksamhet och många webbsidor, inklusive Facebook, har förbättrat sina rutiner så att detta inte kan ske lika enkelt. Inte desto mindre var det en ögonöppnare för många över riskerna med öppna nät.

Automatisk anslutning till nätverk med samma namn

Något som inte fått lika mycket uppmärksamhet hittills är en annan säkerhetsrisk som mjukvaruutvecklaren Troy Hunt nyligen skrivit om. I korthet går det ut på att Apples produkter som Ipad, Iphone och även Mac automatiskt återansluter till öppna nät med samma namn som enheten tidigare varit ansluten till.

Detta är inget nytt i sig och en del av hur wifi fungerar, inte desto mindre är det bra att uppmärksamma, speciellt som IOS idag gör det svårare att kontrollera, mer om det nedan.

  • Den här datorn kommer ihåg nätverken som den en gång anslutit till.

I vår rörliga livsstil är det smidigt att kunna växla mellan olika platser och byta mellan olika internetanslutningar. Därför finns en inbyggd funktion för att automatiskt ansluta till tidigare kända nätverk, det vill säga nätverk som en gång i tiden aktivt valts att anslutas till.

Vad inte alla känner till är detta:

1) Det är enbart namnet på nätverket spelar roll, varken IOS eller OS X gör någon annan kontroll av att nätverket verkligen är samma som det som tidigare använts.

2) Varje enhet skickar ut förfrågningar efter dessa tidigare kända nätverk och i förfrågan finns namnet på nätverket med.

3) Det finns inget sätt att se en lista på tidigare kända nätverk eller radera enskilda nätverk i IOS.

Den första punkten innebär att en illasinnad person skulle kunna sätta upp en router på en plats där folk rör sig med ett namn som det är troligt att många anslutit sig till någon gång, som "linksys" eller "homerun" eller liknande. De som någon gång besökt en Apple Store och fått hjälp där att ställa in sin produkt har förmodligen anslut sig till ett nätverk med namn i stil "Apple Demo".

99mac har testat detta genom att ta en vanlig hemmarouter och ändra nätverket till ett öppet nät med namnet "homerun". Både Iphone och Macar som tidigare varit ansluta till Telias Homerun-nätverk anslut sig utan varning till routern i tron att det var samma nätverk som tidigare.

Den andra punkten innebär att med rätt utrustningen behöver inte den illasinnade personen ens känna till vilket nätverk enheten tidigare varit ansluten till i förväg, eftersom enheten glatt berättar detta i sin förfrågan. En vanligt router räcker inte här, men en enhet som Wifi Pineapple som Hunt testat går att använda för detta ändamål.

Den tredje punkten innebär att det inte går att ta reda på vilka tidigare nätverk som finns lagrade i Iphone eller Ipad. Det går inte heller att rensa ut enskilda nätverk, utan den enda lösningen är att radera samtliga nätverksinställningar. Det medför att de kända krypterade nätverken också försvinner och att lösenord för dessa måste fyllas i igen vid anslutning.

När det gäller OS X är den sista punkten inte ett problem däremot, eftersom det via nätverksinställningarna går att se en lista på alla tidigare kända nätverk, det går att se vilka som är osäkra och det går bra att radera enskilda.

VPN ger ökad säkerhet

Lösningen för att kunna använda okända och även öppna nätverk är att kryptera all trafik från telefonen eller datorn. Detta sker genom VPN. Då upprättas en krypterad förbindelse, ofta kallat för en tunnel, som all trafik skickas via. Det innebär att alla anslutningar som görs – vare sig det är surfning, e-post eller i en app av något slag – sker över det trådlösa nätet mot en enda punkt och helt krypterat.

Därefter går trafiken oskyddat ut på nätet från VPN-servern, men det är tillräckligt för att skydda sig mot illasinnande trådlösa nätverk. En nackdel med VPN är att VPN-anslutningen kan ta en liten stund att upprätta och under tiden kan trafik gå oskyddad, samma kan hända om VPN-anslutningen avbryts av någon anledning. En annan nackdel är att VPN kan bli en flaskhals som gör det långsammare att använda nätet.

VPN är en tjänst som tredje part står för, antingen via till exempel en arbetsgivare eller som en kommersiell tjänst på nätet.

Krypterade nätverk bäst, kombinera med SSL

Även om VPN ger betydligt bättre säkerhet är krypterad wifi alltid att föredra över att använda öppna nät, åtminstone med den kraftigare krypteringen WPA2 (den gamla WEP är i praktiken värdelös). Utöver detta bör du som användare se till att så mycket som möjligt av din känsliga trafik är skyddad hela vägen, det vill säga att se till så att webbsidor och e-post-leverantörer erbjuder SSL-anslutningar.

Risken för att du som användare ska råka ut för att någon satt upp en illasinnad router eller lyssnar av din trafik på öppna nät är troligen liten, men det skadar inte att ha som princip att försöka skydda sig så gott det går på nätet.

Kommentarer
6 svar

Redaktionen tänder det andra ljuset, provar julmust och högtalare, busar med kollegorna och så kommer det julkort.

Fjärde luckan i Geeks Julkalender har öppnats, och idag är det ASUS som lockar med fint erbjudande på datorn ROG Strix GL702VM, och erbjuder surfplattan ZenPad 10 Z300M som pris i en tävling.

Bakom tredje luckan i Geeks Julkalender döljer sig en ATX-låda från Fractal Design och Venturi-fläktar till lågpris.

Denna veckan är poddstudion spekulationernas högborg. Amanda, Jakob och Andreas pratar om ett kommande mystiskt möte hos Apple, Iphone 8-rykten och julen som närmar sig.

En berömd regissör hälsar god jul för en svensk klädkedjas räkning, i veckans fredagsvideo.

Apple ska med hjälp av drönare försöka göra en bättre kartapp än rivalen Google.