Якщо я використовую безкоштовний Wi-Fi у точці доступу, чи можна легко обнюхати дані?

Якщо я використовую свій мобільний пристрій у точці доступу Wi-Fi, чи можу я вважати, що він несе ті ж ризики, що й використання ноутбука, оскільки дані можуть легко обнюхуватись, і що мобільний пристрій також відкритий для атаки людиною посередині?

wi-fi security

— Арахіс Мавпа
джерело

Варто зазначити, що у відкритому wifi кожен користувач може легко прочитати всі відкриті тексти, які інші користувачі надсилають. Однак у захищеній WPA мережі, навіть якщо ключ доступу є "загальнодоступними" знаннями, кожен комп'ютер все одно отримує власний криптографічний "канал", що робить підслуховування інших підключених комп'ютерів набагато більшими зусиллями. І все-таки єдиний спосіб бути приватним - це використовувати лише з'єднання, захищені клієнтом-сервером ( HTTPS ), і бути справді справді впевненим у використанні попередньо збережених віддалених сертифікатів для відомих сайтів та використати певний метод для отримання сповіщень про зміни сертифіката.

— Іларі Каясте

@Ilari Kajaste - Як отримати доступ до попередньо збережених віддалених сертифікатів для відомих сайтів або я можу завантажити їх на мобільний пристрій?

— PeanutsMonkey

Особисто я вважаю сценарій підробленого сертифіката MITM досить рідкісним, щоб його безпечно ігнорували. Однак, для робочого столу є розширення Firefox під назвою Certificate Patrol . Використовуючи це, ви можете спочатку просто відвідати всі сайти, після чого розширення повідомить вас, чи змінилися їх сертифікати. Однак я не знаю, чи є щось подібне для Android.

— Іларі Каясте

Не зовсім відповідь, але є додаток під назвою WifiKill, який може перенаправляти трафік на ваш телефон, якщо він знаходиться в одній мережі, і "вбивати" Інтернет-з'єднання. Отже, я думаю, не було б важче просто «обнюхати» дані, якщо вони не зашифровані. forum.xda-developers.com/showthread.php?t=1282900

— jadkik94

Дивіться також: Ризики безпеки відкритого Wi-Fi та Які дані синхронізованої системи Android зашифровані? яких обох є набагато більше щодо ризиків для безпеки відкритого wifi

— GAThrawn

Відповіді:

Так, ви піддаєтесь тим же ризикам, що і у ноутбука (або будь-якого пристрою, який підключається до бездротової мережі); щоб їх уникнути, застосовуються стандартні процедури безпеки: не використовуйте незашифровані з'єднання, яким ви не довіряєте, і завжди віддайте перевагу HTTPS для перегляду.

— Ренан
джерело

Чи застосовуються ті самі принципи безпеки чи вони відрізняються?

— PeanutsMonkey

Ті ж принципи можуть застосовуватися для будь-якого пристрою, який підключається через бездротовий зв'язок: користуйтеся лише веб-сторінками HTTPS, не використовуйте ненадійні бездротові мережі тощо ...

— Ренан

Так. Є дві різні проблеми:

A. Зловмисник нюхає та / або перенаправляє весь трафік за допомогою арфа-спуфінгу.

Два різні програми для Android вже роблять це (звичайно, заборонено на ринку). Зауважте, що встановлення та тестування їх у вашій країні може бути незаконним!

FaceNiff дозволяє (не знаю, чи це все ще застосовується) прослуховувати ввійшли в облікові дані та приймати облікові записи у Facebook та подібне.
Droidsheep робить те саме

B. Зловмисник, що видає себе за точку доступу .

Більш серйозний, я думаю. Це дозволяє викрасти ваш телефон у будь-який час, якщо раніше ви підключились до відомого провайдера гарячих точок.

Ваш андроїд телефон зазвичай запам'ятовує відомі точки доступу лише ESSID-точками доступу (це ім'я) і намагається знову підключитися до нього, коли він знову побачить такий ESSID для зручності використання. Це дозволяє зловмиснику налаштувати такий добре відомий ESSID, і ваш телефон тоді з радістю підключиться до нього. Оскільки жодна арфа-підробка не буде задіяна, ви не можете легко виявити таку поведінку.

Просто спробуйте самі, налаштуйте свій телефон як незашифрований пристрій гарячої точки, використовуючи відомий ESSID гарячої точки, і подивіться, скільки з'єднань ви отримаєте за один раз ... Можливо, навіть не незаконно використовувати такий ESSID, і ніхто не обманює використання вашого з'єднання або.

— ce4
джерело