Podľa odhadov spoločnosti Risk Based Security venujúcej sa oblasti internetovej bezpečnosti bolo počas prvých šiestich mesiacov tohto roka kvôli prístupom cez verejnú wi-fi odhalených viac ako 502 miliónov citlivých záznamov. Medzi tie sa rátajú mená, e-maily, heslá, dátumy narodenia, telefónne čísla, čísla kreditných kariet...

Napojiť sa do verejnej, teda nezabezpečenej (hoci aj do niektorých druhov zabezpečenej) wi-fi siete je pritom veľmi jednoduché. V prípade nezabezpečenej siete nejde o hackovanie v pravom slova zmysle, ale o odpočúvanie, pretože dáta voľne „lietajú“ okolo vás. „Ak dokáže človek googliť a má trocha technických schopností, náročnosť uskutočnenia niečoho takého je relatívne nízka,“ hovorí PR manažérka spoločnosti Eset Zuzana Hošalová. V TREND.sk sme sa preto rozhodli takýto experiment vyskúšať.

Jakarta, Dubaj, Praha

V novembri sa stretávame s Viktorom Stískalom, ktorý pracuje ako technický šéf v pražskom start-upe Twisto a otázkam bezpečnosti wi-fi sa vo voľnom čase venuje už niekoľko rokov. Sedíme v jednej z kaviarní v centre Prahy. Viktor na začiatku vysvetľuje, čo všetko je na odpočúvanie a sledovanie online aktivít ostatných návštevníkov podniku potrebné.

Z batoha vyťahuje malú škatuľku (externý wi-fi adaptér), ku ktorej pripája asi 30-centimetrovú anténu. Tá zostáva zastrčená v taške, veľmi ľahko totiž púta pozornosť. Vďaka týmto zariadeniam dokážeme zachytiť viac signálov a z väčšej vzdialenosti ako s obyčajným notebookom.

Potrebný softvér je jednoduché nájsť na internete. Na počítačoch od Applu nefunguje práve najlepšie, Viktor preto na svojom Macu zapína Linux a po pár minútach nastavovania vidíme prvé reálne dáta.

Kaviareň nie je veľmi plná, väčšina ľudí navyše diskutuje a neťuká pritom do mobilu (takéto správanie v dnešnej dobe dokáže prekvapiť). Väčšina ľudí si však možnosť pripojiť sa na wi-fi nevypína a ich smartfóny tak každých niekoľko sekúnd automaticky skúšajú hľadať wi-fi siete, na ktoré už boli pripojené v minulosti.

Vedľa MAC adresy (jedinečné identifikačné číslo slúžiace na identifikáciu sieťových kariet) jednotlivých zariadení tak vidíme, kde sa už ľudia v posledných niekoľkých dňoch na wi-fi prihlasovali. Niektorí výrobcovia a najmä staršie typy telefónov totiž ani tieto údaje nezabezpečili.

Vidíme, že niekto z návštevníkov kaviarne evidentne býva v neďalekom hoteli, ďalší v hosteli. Pri zvláštnych názvoch wi-fi sietí si stačí zadať ich názov do Googlu a odhaľujeme konkrétne podniky. Niekto v našom okolí je navyše veľký cestovateľ – vidíme názov hotela nachádzajúceho sa v Indonézii, sieť jakartského letiska, letiska v Dubaji a ďalšieho hotela v Prahe.

Väčšina mobilov už však takéto údaje neodosiela, a preto nevidíme nič – pri nájdení nášho iPhonu na základe MAC adresy vidíme len aktuálne pripojenie.

Prokrastinujúci študenti

Aby sme mohli otestovať aj sledovanie konkrétnej aktivity na internete, presúvame sa kvôli malej obsadenosti z kaviarne do jednej z verejne prístupných knižníc so študovňami. Sedia v nich desiatky ľudí, najmä študenti využívajúci nezabezpečené pripojenie tamojšej wi-fi siete.

Opäť skúšame prvý experiment a vidíme, kde sa ľudia pripájali predtým – hotely, súkromné internáty, kaviarne, reštaurácie, koncertné sály a dokonca aj pivovar.

Po ďalších nastaveniach a vďaka programu (ktorý nám v kaviarni neukazoval takmer žiadnu aktivitu a ktorý si možno stiahnuť za pár sekúnd) v knižnici sledujeme reálny traffic používateľov. Vďaka filtrácii odpočúvame len príkazy týkajúce sa protokolu http – aby sme videli, čo presne robia vo svojich internetových prehliadačoch.

Vidíme tak konkrétne články, ktoré si niekto číta na stránkach BBC, konkrétne slová, ktoré si používatelia prekladajú pomocou služby Google Translate. Navyše sme schopní na základe MAC adresy filtrovať konkrétne zariadenie.

Pri náhodne vybraných pokusoch sme natrafili na muža, ktorý si prehliada fotky na Instagrame (dokonalý príklad prokrastinácie). Po pár minútach vidíme jeho profil s menom, na ktorom má desiatky fotiek – dokážeme tak identifikovať, kde v miestnosti sedí.

Máme šťastie – jeho zariadenie odoslalo informácie o Session ID. Viktor nám vysvetľuje, že sa vďaka tomuto údaju môžeme na pár minút prihlásiť na jeho profil a publikovať fotky alebo napísať niekoľko nepríjemných odkazov. To už však, samozrejme, neskúšame.

Prokrastinujúci študent sa však z internetu odpája (alebo odchádza mimo nášho dosahu) a my preto hľadáme ďalší objekt. Nachádzame ďalšieho študenta, ktorý si prezerá Instagram, tentoraz však cez aplikáciu na mobile Nokia Lumia. Opäť vidíme jeho profil, meno, fotky.

Šifrovať, šifrovať, šifrovať

V prípade takéhoto odpočúvania zariadení nie je ťažké sa brániť. Dôležité je „šifrovať, šifrovať, šifrovať. Magické https vie dosť silne pomôcť proti bežnému útočníkovi sediacemu uprostred,“ hovorí Z. Hošálová z Esetu.

Vývojári aplikácii a operačných systémov si na bezpečnosti pred pár rokmi veľmi nepotrpeli a väčšinou používali len nešifrovaný protokol http – či už z časových alebo finančných dôvodov. Najmä kvôli obrovskému nástupu používania smartfónov sa však trend mení.

Väčšina stránok s citlivými údajmi tak už šifrovaný protokol https používa – Google, Facebook, Twitter, ale aj ďalšie e-mailové služby či sociálne siete a, samozrejme, aj všetky banky v rámci elektronického bankovníctva.

V prípade, že používate aplikácie nainštalované v smartfóne, nemusíte sa báť. Väčšina z nich (ak ich máte aktualizované, rovnako ako váš operačný systém) toto šifrovanie používa tiež. A to aj na prvý pohľad aplikácie, ktoré o vás neprezradia nič podstatné, ako je appka denníka Wall Street Journal.

Ak chcete posilniť bezpečnosť na vyššiu úroveň, môžete sa riadiť radami niektorých expertov, napríklad divízie amerického ministerstva pre bezpečnosť a spravodlivosť. „Nie je odporúčané používať otvorené wi-fi siete na verejných priestranstvách. Ak sú tieto siete používané, aktivitám súvisiacim s prácou alebo financiami by sa mal používateľ vyhnúť,“ odporúča vo svojej správe.

Avšak myslieť si, že ak sa pripojíte na wi-fi s určitou mierou zabezpečenia, nikto vás už neodpočúvať nebude, by bolo chybné. Mnoho vysielačov wi-fi signálu používa zastarané šifrovacie štandardy WEP, na ktoré sa v najhorších prípadoch dá napojiť za pár hodín. V prípade novších štandardov WPA1 a WPA2 je to už náročnejšie, stále však nie nemožné.

Keď je niekto niekým, kým nie je

Doteraz sme sa venovali len oblasti odpočúvania wi-fi. Na získanie viacerých údajov však existuje ľahšie riešenie – vytvorenie vlastnej siete. S Viktorom sme na tento experiment nemali dostatok času, avšak tomu sa venovala redakcia holandského online denníka De Correspondent.

Najjednoduchším spôsobom, ako ľudí donútiť prihlásiť sa na vašu wi-fi sieť, je nazvať ju podľa niektorej zo známych spoločností – McDonald’s, KFC alebo Starbucks. Ľudia tieto siete poznajú a často sa na ne pripájajú. Ak majú na mobile zapnutú wi-fi (a v minulosti sa už na ne pripojili), ich mobil sa na ne pripojí automaticky.

V takomto prípade funguje útočník ako prostredník – v kaviarni je pripojený na wi-fi a zariadenia ostatných používateľov sa na internet pripájajú cez jeho počítač. Dokáže tak sledovať úplne všetko, čo robia.

Za pár desiatok minút strávených v amsterdamskej kaviarni tak redakcia De Correspondent dostala k dispozícii údaje o dvadsiatich ľuďoch – ich mená, históriu prehliadania, ale aj prístupové údaje na e-mailových klientov.

To sa dá veľmi ľahko zneužiť – útočník sa prihlási, zmení heslo a na ostatné služby, napríklad na sociálne siete, použije rovnaký e-mail (väčšina ľudí používa jeden všade), zmení heslá aj tam a v podstate ovládne celú internetovú identitu človeka.

V prípade, ak všetka komunikácia prechádza cez jedno zariadenie, môže napríklad útočník nastaviť, aby sa namiesto pôvodných obrázkov na akomkoľvek webe ukazovalo niečo iné. Napríklad aj detská pornografia, ktorej prehliadanie je nelegálne a obeť môže čeliť trestnému stíhaniu za jej prehliadanie a šírenie.

Alebo môže vaše surfovanie presmerovať na úplne iné stránky. Ak sa chcete prihlásiť do internetového bankovníctva, útočník vás môže presmerovať na rovnako vyzerajúce stránky, ktoré ale nie sú zabezpečené a získa vaše veľmi cenné údaje.

Dešifrovanie gumovou hadicou

Toto sú len najľahšie a najčastejšie spôsoby, ako zneužiť wi-fi pripojenie. Existujú desiatky prístrojov, programov, stovky návodov, ako sledovať komunikáciu, ovplyvňovať ju a nabúrať sa do nej. Stačí na to len pár desiatok eur, Google a mierne pokročilé technické schopnosti. Útočník sa potom môže dostať k veľmi citlivým údajom.

Počet verejných, voľných a teda veľmi pravdepodobne aj nezabezpečených wi-fi sietí pritom raketovo narastá. Podľa spoločnosti Maravedis-Rethink zaoberajúcej sa problematikou wi-fi, ktorú cituje týždenník The Economist, je po celom svete v súčasnosti k dispozícii 47 miliónov verejných sietí. Do roku 2018 má tento počet narásť sedemnásobne na 340 miliónov, jeden voľne prístupný hotspot tak bude pripadať na každých 20 ľudí sveta.

S týmto obrovským nárastom je potrebné poukazovať na bezpečnosť a zabezpečenie, verejné wi-fi, samozrejme, nepoužívať na zaplatenie faktúry cez internetové bankovníctvo... Avšak zabezpečenie nerovná sa ochrana.

V súvislosti so šifrovaním dát na počítačovom disku vznikol pojem takzvaného dešifrovania gumovou hadicou (rubber-hose cryptanalysis). Ide o to, že útočník vždy hľadá najľahšiu cestu, ako sa k cenných údajom dostať. A ak sa mu to nepodarí pomocou hackovania, príde za vami a bude vás biť gumovou hadicou, kým mu ich neprezradíte.