Ασφάλεια και δημόσια ασύρματα δίκτυα: Ποιοι οι κίνδυνοι και τι πρέπει να γνωρίζουμε για να προστατευτούμε

Παρά τα όσα έχουμε ακούσει κατά καιρούς για την ασφάλεια των ηλεκτρονικών συσκευών και των ασύρματων δικτύων, επιμένουμε να ζούμε σε μία ψευδαίσθηση πιστεύοντας ότι δεν κινδυνεύουμε άμεσα από κανέναν. Αυτό δε σημαίνει βέβαια ότι κάθε μέρα κάποιος προσπαθεί να "μπει" στην συσκευή μας, αλλά αν θέλει και είναι γνώστης του αντικειμένου, μπορεί να μας κάνει κακό ασχέτως πλατφόρμας ή λειτουργικού συστήματος.

Επειδή αυτά μας φαίνονται μακρινά και θεωρητικά, παρακάτω θα παρουσιάσω ένα πραγματικό παράδειγμα, για να γνωρίζουμε όλοι μερικούς από τους κινδύνους που ελλοχεύουν εκεί έξω και να καταλάβουμε πόσο εύκολο είναι για κάποιον να υποκλέψει τα προσωπικά μας δεδομένα και γενικότερα να μας κατασκοπεύσει, χωρίς να το ξέρουμε.

Ασύρματα δίκτυα & ίντερνετ
Ας ξεκινήσουμε με μια παραδοχή: Αν έχεις συσκευή που συνδέεται στο ίντερνετ, αυτομάτως είσαι ευάλωτος σε οποιαδήποτε επίθεση ή παρακολούθηση και αυτό οφείλεται στη σύνδεση και όχι στον τύπο της συσκευής που κρατάς στα χέρια σου. Για να καταλάβουμε, ας δούμε λιγάκι πώς λειτουργεί η σύνδεση στο ίντερνετ. Κάθε φορά που πληκτρολογούμε μία διεύθυνση στέλνουμε, μέσω του router, ένα "πακέτο" στο server με τις πληροφορίες που ζητάμε. Αυτός με τη σειρά του μας απαντάει με ένα δεύτερο "πακέτο" που περιέχει όλες τις πληροφορίες της σελίδας που ζητήσαμε (εικόνες, κείμενο κλπ.), οι οποίες συνθέτονται στον υπολογιστή μας και εμείς βλέπουμε το τελικό αποτέλεσμα στην οθόνη μας.

Το πρόβλημα λοιπόν σε αυτές τις συνδέσεις είναι οι μεσάζοντες, δηλαδή τα router. Αν κάποιος θελήσει να υποκλέψει τα δεδομένα μας, δε χρειάζεται να επιτεθεί στη συσκευή μας, αλλά να μάθει τον κωδικό του router. Μόλις καταφέρει να συνδεθεί σε αυτό μπορεί με ένα απλό πρόγραμμα "να μπει στη μέση" της επικοινωνίας μας και να υποκλέψει τα δεδομένα μας.

Ένα απλό παράδειγμα
Δείτε τώρα πόσο εύκολο είναι να κάνει κάποιος τα παραπάνω και να δει άμεσα ποιες σελίδες ανοίγουμε και όχι μόνο, χωρίς καν να χρησιμοποιεί υπολογιστή, αλλά μία απλή Android συσκευή.

Ας πούμε ότι εγώ είμαι ο θύτης και θέλω να κατασκοπεύσω όλους τους χρήστες ενός ασύρματου δικτύου. Το πρώτο πράγμα που θα πρέπει να κάνω είναι να συνδεθώ στο router. Αυτό γίνεται με τους εξής τρόπους αναλόγως την περίσταση:

• Δημόσιο δίκτυο (π.χ. καφετέρια): Απλά ζητάω τον κωδικό από τον υπάλληλο.
• Οικιακό/εταιρικό δίκτυο με default κωδικό: Χρησιμοποιώ μία από τις πολλές εφαρμογές εύρεσης κλειδιών για να μάθω τον κωδικό και να συνδεθώ.
• Δίκτυο με custom κωδικό: Σε αυτή την περίπτωση δυσκολεύουν τα πράγματα αλλά με έναν υπολογιστή, τις κατάλληλες γνώσεις και πάρα πολύ χρόνο στη διάθεσή μου, αργά ή γρήγορα θα τα καταφέρω.

Αφού συνδέθηκα στο δίκτυο (αυτό ήταν το δύσκολο κομμάτι), τώρα θα πρέπει να μπω ανάμεσα στο router και τις υπόλοιπες συνδεδεμένες συσκευές για να λαμβάνω και εγώ τα δεδομένα τους. Αυτό γίνεται με τη μέθοδο του packet sniffing και δε χρειάζεται να έχω καθόλου γνώσεις πάνω σε αυτό, μιας και ένας "καλός Σαμαρείτης" έχει δημιουργήσει μία πολύ απλή εφαρμογή η οποία τα κάνει όλα αυτόματα! Δε θα αναφέρουμε το όνομά της καθώς η χρήση της είναι παράνομη και φυσικά δεν προτείνουμε σε κανέναν να τη χρησιμοποιήσει για οποιοδήποτε λόγο.

Η εφαρμογή θα σκανάρει το δίκτυο και θα μας εμφανίσει όλες τις συσκευές που είναι συνδεδεμένες σε αυτό (εικόνα αριστερά), για τις οποίες μπορούμε πλέον να επιλέξουμε αν και πότε επιτρέπουμε να μπουν στο ίντερνετ και να παρακολουθήσουμε μέσω των "πακέτων" που ανταλλάσσουν με το server, ποιες σελίδες επισκέπτονται οι χρήστες τους! Συγκεκριμένα μπορούμε να δούμε ότι το θύμα επισκέφτηκε το doctorandroid.gr και ύστερα έκανε κλικ σε μία εικόνα η οποία είναι ανεβασμένη στο server του blogger (εικόνα δεξιά). Πληκτρολογήστε το url στον browser σας να δείτε και εσείς, τι είδε το θύμα! Είναι πραγματικά δύο "tap" υπόθεση.

Μέσα στα "πακέτα" που ανταλλάσσει το θύμα με το server περιλαμβάνονται και οι κωδικοί των σελίδων στις οποίες συνδέεται, όπως για παράδειγμα το Facebook. Ευτυχώς η συγκεκριμένη εφαρμογή δεν παρέχει τέτοιου είδους υπηρεσίες, όμως μην αγχώνεστε, υπάρχουν και άλλες για αυτό το σκοπό. Μία από αυτές χρησιμοποιεί τη μέθοδο του ARP poisoning και αποθηκεύει τα δεδομένα του θύματος, με σκοπό ο χρήστης της εφαρμογής να τα αναλύσει αργότερα και να πάρει από μέσα τους κωδικούς του Facebook ή ακόμα χειρότερα κωδικούς τράπεζας, αν τύχει το θύμα να βρίσκεται στη σελίδα της.

Στο παρακάτω βίντεο φαίνεται ξεκάθαρα πόσο απλό είναι το ARP poisoning, μέσω μιας αυτοματοποιημένης Android εφαρμογής. Προσέξτε ότι ο χρήστης επισκέπτεται σελίδες (μέσω τερματικού αλλά δεν έχει σημασία), ενώ κάνει login και σε μία FTP υπηρεσία, η οποία θα μπορούσε να είναι το Facebook:

Πώς θα προστατευτούμε;
Μετά από αυτά που είδατε θα αναρωτιέστε αν και πώς μπορούμε να προστατευτούμε. Υπάρχουν διάφοροι τρόποι και οι σημαντικότεροι και πιο απλοί είναι οι εξής:

• Αλλάξτε κωδικό στο router

Μη χρησιμοποιείτε στο οικιακό σας δίκτυο τον κωδικό που γράφει επάνω στο router και βάλτε κάποιον δικό σας. Χρησιμοποιήστε το πρωτόκολλο WPA2, το οποίο προς το παρόν θεωρείται αδιαπέραστο (στην πραγματικότητα δεν είναι, απλά χρειάζεται πάρα πολύς χρόνος για να σπάσει).

• Χρησιμοποιήστε το WiFi Protect

Όταν βρίσκεστε σε δημόσια δίκτυα χρησιμοποιήστε το WiFi Protector κάθε φορά που συνδέστε. Η εφαρμογή θα αναλάβει αυτόματα να διατηρήσει έναν ασφαλή δεσμό με το router και δε θα επιτρέψει την παρεμβολή κανενός στη σύνδεσή μας.

• Χρησιμοποιήστε το δίκτυο κινητής τηλεφωνίας

Η σύνδεση που παρέχει η εταιρία κινητής τηλεφωνίας είναι πιο ασφαλής από ένα κοινό ασύρματο δίκτυο. Αυτό γιατί δεν υπάρχει router στο οποίο να μπορεί να συνδεθεί ο θύτης, εκτός και αν διαθέτει τον κατάλληλο εξοπλισμό και χακάρει μία από τις κεραίες κινητής τηλεφωνίας, πράγμα δύσκολο.

Εν κατακλείδι
Ο σκοπός του άρθρου αυτού είναι απλά να επιστήσει την προσοχή και να δώσει μια ιδέα για τα εργαλεία που, ακόμα και στα χέρια ενός άσχετου, μπορούν να προκαλέσουν ζημιά. Ευτυχώς οι γνώστες είναι λίγοι και από τους γνώστες ακόμα λιγότεροι αυτοί που θέλουν να κάνουν κακό στον καθένα μας (αυτοί συνήθως στοχεύουν άλλα πράγματα, πιο προχωρημένα), οπότε δε χρειάζεται να πανικοβαλλόμαστε  Καλό είναι όμως να έχουμε πάντα στο μυαλό μας ότι υπάρχει και αυτή η περίπτωση και ότι δε χρειάζεται να γίνουμε εμείς το θύμα για να βάλουμε μυαλό.