Todos os posts tagados wi-fi

Projeto I CAN TRACK YOU

Projeto I CAN TRACK YOU

A Dognædis, uma empresa de segurança informática portuguesa, elaborou um estudo onde analisou comportamento de quase 9000 dispositivos ligados a redes wireless públicas em Portugal. Os dispositivos foram identificados em estações de metro, transportes públicos, centros comerciais, organismos públicos, horas de ponta e Aeroporto da Portela.

A utilização de dispositivos móveis tem vindo a aumentar de ano para ano. Todos nós, de uma maneira ou de outra, fomos influenciados pela sua massificação e utilização. Diariamente fazemos uso deles como forma de interação social e para nos manter ligados à Internet 24/7. Facto é que a utilização diária destes dispositivos, especificamente como e onde, coloca em causa a nossa privacidade e segurança da nossa informação.

A conclusão não é animadora e mostra muitas fragilidades de como os portugueses acedem a redes wireless públicas:

Neste universo de 8790 dispositivos recolhidos, cerca de ~26% destes mesmos, encontram-se a transmitir pelo menos um ESSID. Destes 26%, ~30% encontram-se vulneráveis a Evil Twin Attacks, o que equivale a cerca de 8% no universo total de aparelhos recolhidos.

Sugestão:
A forma mais prática e fácil que o utilizador tem para se proteger é ligar o dispositivo Wi-Fi apenas quando for necessário.

Os sistemas que possuem Android tiveram resultados diversos, estando estes condicionados à marca do fabricante, bem como à versão de Android utilizada. Foi possível detetar inúmeros aparelhos que efetuavam a transmissão de todas as redes Wi-Fi que estiveram conectados no entanto, foram detetados dispositivos que não possuiam este comportamento.
Grande parte dos dispositivos possuem um mecanismo que desabilita a opção de ligar automaticamente às redes WiFi, protegendo assim o utilizador dos ataques Evil Twin mencionados.

Sugestões
Desativar Wi-Fi quando não estiver a ser usado;
Desativar a opção de Auto-Connect;

Recomendo a leitura na integra deste estudo – https://www.dognaedis.com/irt/dissemination-projects/projects/icty_pt.html
Parabéns à equipa da Dognædis pela excelente iniciativa.

Reaver – um brute-force contra WPS

Reaver - um brute-force contra WPS

Pentesters, ou simplesmente utilizadores que queiram apenas testar a fragilidade da vossa rede Wifi, está disponível uma ferramenta que permite fazer um ataque força bruta aos Wifi Protected Setup (WPS). O Reaver foi implementado para testar a falha descrita por Stefan Viehbock no CERT, onde uma falha na autenticação do standard WPS permite recuperar o PIN e por sua vez aceder à rede Wifi.
De referir também que não existe qualquer limite de tentativas, o que deixa uma grande margem de manobra para lançar ataques de força bruta.
Como maioria dos routers mais recentes têm o WPS activo por default, esta situação deve atingir um grande número de equipamentos*.

E é aqui que entra o Reaver
Segundo o site oficial, o Reaver consegue recuperar a password numa média de 4 a 10 horas, dependendo do AP (Access Point).

Para complementar este artigo, deixo aqui um link para o Lifehacker com mais informação sobre o Reaver.

* Até à data os fabricantes não lançaram qualquer tipo de correção.

Kaspersky alerta para perda de dados em Wi-Fi de aeroportos

No Diário Digital:

Os cibernautas que utilizam os pontos de ligação Wi-Fi nos aeroportos para aceder à Internet arriscam-se a perder dados como passwords, nomes de utilizador ou informação financeira, alerta a Kaspersky Lab.

Os utilizadores das transportadoras aéreas usam os PCs portáteis para enviarem e-mails, consultar páginas Web ou até visitar o perfil no Facebook antes dos seus voos. Deste modo, quase todos os aeroportos já contam com zonas de ligação Wi-Fi.A empresa de segurança informática explica que informações importantes como passwords, nomes de utilizador ou informação financeira, na maioria dos casos não estão encriptados, o que «significa que qualquer um pode interceptá-los com fins maliciosos», sublinha o perito em segurança Dmitry Bestuzhev, da Kaspersky Lab.

O ideal é optar por uma ligação VPN (Rede Privada Virtual), embora muitos administradores de serviços públicos de ligação à Internet bloqueiem este acesso para se assegurarem que «a sua rede não será usada com objectivos mal-intencionados».

(…)

Sete dicas para navegar com segurança na web

No IDG Now!:

Cuidados como não ter uma senha-mestre e não usar redes Wi-Fi aberta dão conta de 90% das ameaças.

Em poucas semanas, várias contas de gente famosa nas redes sociais foram invadidas. É o caso do presidente da França, Sarkozy, da pop-star Selena Gomez e do menino prodígio da internet Mark Zuckerberg. E, como parece que as redes sociais vieram para ficar, o lance agora é preservar seus dados enquanto usa a internet.

O porta-voz da McAfee, agora pertencente à Intel, enviou uma relação com as melhores práticas para ficar protegido na web. A seguir, sete pontos-chave nas dicas do profissional:

1. Atualize o navegador

As versões mais modernas dos browsers têm configurações de segurança mais avançadas e seguras que os de seus pais e avôs. Entre as vantagens está a identificação de ataques via phishing.

2. Use redes seguras

É ótimo usar as redes WiFi abertas em praças de alimentação, mas elas são – no mínimo – inseguras, para não dizer perigosas. Sem a proteção de criptografia instalada, qualquer pessoa ao seu redor pode ler e interpretar informações que você envia enquanto usa a rede social e faz compras.

Se for navegar nessas redes, mantenha sua rota de sites elementar e , sempre que puder, dê preferência às conexões SSL (HTTPS), disponíveis para sites como Gmail, Facebook e Hotmail.

3. Sobre senhas

Varie. Evite ao máximo o uso de senha-mestre. O mesmo vale para o nome de usuário. Assim, se alguém roubar suas credenciais no Twitter, por exemplo,  não terá acesso garantido ao seu email usando a mesma senha.

4. Verifique a URL

Antes de inserir senhas e outras informações pessoais em sites, verifique se o endereço na barra da URL é o de costume. Tem muito site especializado em imitar a interface com pequenas alterações no endereço. Assim, Facebook.com pode vir disfarçado de Facebook.hacker.org – se você não notar essa diferença seus dados irão “rodar”.

5. “Baixe aki as imagens”

Assim começa uma variedade de emails que recebemos todos os dias. Não é preciso ser nenhum gênio para ver que são ,mensagens do tipo spam e que podem ser danosas aos seus dados e à saúde do PC. Então, a segura mas eficaz dica do “não clique” vale para esse tipo de email.

6. Limpar histórico e fazer logoff

Se tiver de usar uma máquina pública, seja em um hotel ou em bibliotecas, tenha certeza de efetuar essas duas operações ao sair de sites que exigiram login ou em que inseriu informações pessoais. Uma alternativa inteligente é usar a navegação anônima – normalmente disponível nos browsers. Ao terminar a sessão, vale apagar os arquivos temporários (o cachê) deixando a trilha limpa.

7. Antivírus, entendeu?

Essa lista não estaria completa se não incluísse a recomendação de cuidar de seu PC de maneira apropriada. Ter uma conjunto básico de ferramentas para proteger o sistema, tais como firewall, antivírus e anti-spyware faz parte da vida de usuário responsável da internet. Se você vacilar nesse quesito, muitas pessoas de sua rede de contatos podem pagar por isso. Além disso, esse software deve estar sempre atualizado, pois novas ameaças são descobertas todas as horas do dia e a proteção contra essas potenciais epidemias demoram algumas horas para sair.

Sem precisar de PhD em tecnologia, é perfeitamente dar conta da segurança essencial com base nessas dicas. Acredite: 90% das ameaças são controláveis com esses cuidados simples.

(Tony Bradley)

Wi-fEye – testes de intrusão automáticos em redes WiFi

Wi-fEye tem como finalidade auxiliar os testes de intrusão em redes WiFi.

Esta ferramenta, desenvolvida em Python, vai permitir a um utilizador lançar automaticamente diversos ataques, bastando para isso correr o Wi-fEye, escolher o tipo de ataque a desempenhar, escolher o destino e esperar pelo resultado.

No website oficial, a documentação é bastante razoável e até inclui uns tutoriais em vídeo.